MONOGRAFIA SEGURIDAD

UNIVERSIDAD NACIONAL “JOSÉ F. SÁNCHEZ CARRIÓN”

FACULTAD

ESCUELA

DE

DE

INGENIERÍA

INGENIERÍA INFORMÁTICA

“SEGURIDAD

DE LA

INFORMACIÓN”

PROF.: ING. JUAN C. MEYHUAY FIDEL

Monografía como parte de la asignatura de Tecnologías de Información presentan las alumnas: Gutierrez Palacios, Gina Nicho Diaz, Pamela Palma Medina, Karla

“Seguridad de la Información”

MAYO, 2012

U N J F S C - F I - I n g e n i e r í a

I n f o r m á t i c a

P á g i n a

2


MAYO, 2012



P á g i n a

2


DEDICATORIA

Este presente trabajo está est á ded dedica icado do pri primer meram ament ente e a Dios y todas esas personas que están a nuestro lado y que de una u otra manera nos apoyan.



P á g i n a

3


Agradecimiento: Agradecemos a todas esas personas que nos brindaron información sobre el tema a tratar y al Docente qu que e no noss dio el tema te ma pa para ra pr prof ofun undi diza zarl rlo o más.



P á g i n a

4


RESUMEN En el siguiente documento hablaremos de LA SEGURIDAD DE LA INFORMACION ya que la información tiene mucho más valor que cualquier otro bien en una organización. El objetivo principal es el de presentar los fundamentos teóricos del tema en cuestión. En el primer capítulo nos centraremos en avance histórico ya que Desde el inicio de la civilización humana, siempre hubo una preocupación con las informaciones y con los conocimientos proporcionados por ella, luego de su concepción, seguridad, manejo de riesgo, tecnologías y estándares. En la segunda parte hablaremos de la Seguridad de la Información de las Empresas, como minimizar los riesgos y finalizaremos con las conclusiones del tema.



P á g i n a

5




P á g i n a

6


ÍNDICE INTRODUCCIÓN...................................................................................................................................................9 1. PRELIMINARES...............................................................................................................................................10 2. LA SEGURIDAD DE LA INFORMACIÓN..................................................................................................11 3 COMPLEMENTARIAS.....................................................................................................................................36 4 CONCLUSIONES...............................................................................................................................................37 5 GLOSARIO.........................................................................................................................................................38 6 SIGLARIO...........................................................................................................................................................39 7 BIBLIOGRAFÍA.................................................................................................................................................40

LISTA

DE

TABLAS:

Tabla 1.1: Partes de los preliminares de una monografía

9 Tabla 3.1: Partes de las complementarias

31



P á g i n a

7


LISTA


DE

ILUSTRACIONES


P á g i n a

8


Introducción En esta presente Monografía veremos la importancia de la Seguridad de la Información ya que nuestras sociedad depende completamente del manejo apropiado de la información. En esto confiamos al manejar nuestros saldos bancarios, nuestras transacciones financieras, los balances de nuestras empresas, las calificaciones profesionales o la buena imagen de un ciudadano ejemplar así como el prontuario delictivo de un criminal; la almacenamos y procesamos en sistemas de información generalmente apoyados en papel y crecientemente basados en cómputo automático. Los sistemas de información se han constituido como una base imprescindible para el desarrollo de cualquier actividad empresarial; estos sistemas han evolucionado de forma extraordinariamente veloz, aumentando la capacidad de gestión y almacenamiento. El crecimiento ha sido constante a lo largo de las últimas décadas, sin embargo, esta evolución tecnológica también ha generado nuevas amenazas y vulnerabilidades para las organizaciones. La difusión de las noticias relacionadas con la seguridad informática ha transcendido del ámbito técnico al ámbito social. Por ende el conocimiento y la actualización constante nos permite ubicarnos en un campo, adelantarnos a los cambios y tomar decisiones a favor de proteger la información. Muchas empresas en la actualidad se ven afectadas por su mal manejo de información es por eso que en el presente trabajo le daremos a conocer toda las medidas de seguridad que debe aplicar para proteger su información planteando ejemplos que serán entendibles para el usuario.



P á g i n a

9


1.

Preliminares

Los preliminares no son parte del contenido de la monografía. Constituyen el cuerpo de la presentación y están compuestas de varias partes que se describen en la tabla 1.1.

Tabla 1.2: Partes de los preliminares de una monografía Parte Descripción 1. Carátula: La primera página de esta guía tiene una propuesta de carátula. 2. Guardas: Son hojas en blanco. 3. Página de Esta página es opcional dedicatoria: 4. Página de Esta página es opcional agradecimientos: 5. Resumen: Esta guía contiene una página de resumen en donde se explica que incluye. 6. Índice: Lista de los contenidos del trabajo con la numeración de las páginas correspondientes. 7. Listas Índice de cada uno de los tipos de especiales recuadros usados: Lista de tablas, Lista de ilustraciones, etc.



P á g i n a

1 0


Capítulo I:

SEGURIDAD DE LA INFORMACIÓN

2. 2.1

LA SEGURIDAD DE LA INFORMACIÓN

DEFINICIÓN



P á g i n a

1 1


Se entiende por seguridad de la información a todas aquellas medidas preventivas y reactivas del hombre, de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e Integridad de la misma. Ilustración 2.1: Seguridad de la

El concepto de seguridad de la información no debe ser confundido con el de seguridad informática, ya que este último sólo se encarga de la seguridad en el medio informático, pudiendo encontrar información en diferentes medios o formas. Para el hombre como individuo, la seguridad de la información tiene un efecto significativo respecto a su privacidad, la que puede cobrar distintas dimensiones dependiendo de la cultura del mismo. En la Seguridad de la Información el objetivo de la protección son los datos mismos y trata de evitar su perdida y modificación non-autorizado. La protección debe garantizar en primer lugar la confidencialidad, integridad y disponibilidad de los datos, sin embargo existen más requisitos como por ejemplo la autenticidad entre otros. El motivo o el motor para implementar medidas de protección, que responden a la Seguridad de la Información, es el propio interés de la institución o persona que maneja los datos, porque la perdida o modificación de los datos, le puede causar un daño (material o inmaterial). Entonces en referencia al ejercicio con el banco, la perdida o la modificación errónea, sea causado intencionalmente o simplemente U N J F S C - F I - I n g e n i e r í a


P á g i n a

1 2


por negligencia humana, de algún récord de una cuenta bancaria, puede resultar en perdidas económicas u otros consecuencias negativas para la institución.

2.2

HISTORIA DE LA SEGURIDAD DE LA INFORMACIÓN

Desde tiempo inmemorable el hombre ha resguardado y protegido con celo sus conocimientos debido a la ventaja y poder que éste le producía sobre otros hombres o sociedades. En la antigüedad surgen las bibliotecas, lugares donde se podía resguardar la información para trasmitirla y para evitar que otros la obtuvieran, dando así algunas de las primeras muestras de protección de la información. Sun Tzu en El arte de la guerra y Nicolás Maquiavelo en El Príncipe señalan la importancia de la información sobre los adversarios y el cabal conocimiento de sus propósitos para la toma de decisiones. Durante la Segunda Guerra Mundial se crean la mayoría de los servicios de inteligencia del mundo con el fin de obtener información valiosa e influyente, creándose grandes redes de espionaje. Como forma de protección surge la contrainteligencia. Con el devenir de los años al incrementarse el alcance de la tecnología, el cuidado de la información se ha vuelto crucial para los hombres, las organizaciones y las sociedades. 2.3

CONCEPCIÓN DE LOS SISTEMAS DE INFORMACIÓN

En la seguridad de la información es importante señalar que su manejo está basado en la tecnología y debemos de saber que puede ser confidencial: la información está centralizada y puede tener un alto valor. Puede ser divulgada, mal utilizada, ser robada, borrada o saboteada. Esto afecta su disponibilidad y la pone en riesgo. La información es poder, y Ilustración 2.3: Concepción de la



P á g i n a

1 3


según las posibilidades estratégicas que ofrece tener a acceso a cierta información, ésta se clasifica como: Crítica: Es indispensable para la operación de la empresa. Valiosa: Es un activo de la empresa y muy valioso. Sensible: Debe de ser conocida por las personas autorizadas Existen dos palabras muy importantes que son: Riesgo: Es todo tipo de vulnerabilidades, amenazas que pueden ocurrir sin previo aviso y producir numerosas pérdidas para las empresas. Los riesgos más perjudiciales son a las tecnologías de información y comunicaciones. Seguridad: Es una forma de protección contra los riesgos. La seguridad de la información comprende diversos aspectos entre ellos la disponibilidad, comunicación, identificación de problemas, análisis de riesgos, la integridad, confidencialidad, recuperación de los riesgos. En caso de que la información confidencial de una empresa, sus clientes, sus decisiones, su estado financiero o nueva línea de productos caigan en manos de un competidor; se vuelva pública de forma no autorizada, podría ser causa de la pérdida de credibilidad de los clientes, pérdida de negocios, demandas legales o incluso la quiebra de la misma. Por más de veinte años la Seguridad de la Información ha declarado que la confidencialidad, integridad y disponibilidad (conocida como la Tríada CIA, del inglés: "Confidentiality, Integrity, Availability") son los principios básicos de la seguridad de la información. La correcta Gestión de la Seguridad de la Información busca establecer y mantener programas, controles y políticas, que tengan como finalidad conservar la confidencialidad, integridad y disponibilidad de la información, si alguna de estas características falla no estamos ante nada seguro. Una vez conocidos todos estos puntos, y nunca antes, deberán tomarse las medidas de seguridad oportunas. 2.3.1 Confidencialidad Es la propiedad de prevenir la divulgación de información a personas o sistemas no autorizados. A groso modo, la confidencialidad es el acceso a la información únicamente por personas que cuenten con la debida Ilustración 2.3.1: Confidencialidad autorización.



P á g i n a

1 4


Por ejemplo, una transacción de tarjeta de crédito en Internet requiere que el número de tarjeta de crédito a ser transmitida desde el comprador al comerciante y el comerciante de a una red de procesamiento de transacciones. El sistema intenta hacer valer la confidencialidad mediante el cifrado del número de la tarjeta y los datos que contiene la banda magnética durante la transmisión de los mismos. Si una parte no autorizada obtiene el número de la tarjeta en modo alguno, se ha producido una violación de la confidencialidad. La pérdida de la confidencialidad de la información puede adoptar muchas formas. Cuando alguien mira por encima de su hombro, mientras usted tiene información confidencial en la pantalla, cuando se publica información privada, cuando un laptop con información sensible sobre una empresa es robado, cuando se divulga información confidencial a través del teléfono, etc. Todos estos casos pueden constituir una violación de la confidencialidad. 2.3.2

Integridad

Es la propiedad que busca mantener los datos libres de modificaciones no autorizadas. (No es igual a integridad referencial en bases de datos.) A groso modo, la integridad es el mantener con exactitud la información tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados. La violación de integridad se presenta cuando un empleado, programa o proceso (por accidente o con mala intención) modifica o borra los datos importantes que son parte de la información, así mismo hace que su contenido permanezca inalterado a menos que sea modificado por personal autorizado, y esta modificación sea registrada, asegurando su precisión y confiabilidad. La integridad de un mensaje se obtiene adjuntándole otro conjunto de datos de comprobación de la integridad: la firma digital Es uno de los pilares fundamentales de la seguridad de la información 2.3.3

Disponibilidad

La disponibilidad es la característica, cualidad o condición de la información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. A groso modo, la disponibilidad es el acceso a la información y a los sistemas por personas autorizadas en el momento que lo requieran. En el caso de los sistemas informáticos utilizados para almacenar y procesar la información, los controles de seguridad utilizado para protegerlo, y los canales de comunicación protegidos que se utilizan para acceder a ella deben estar funcionando correctamente. La Alta U N J F S C - F I - I n g e n i e r í a


P á g i n a

1 5


disponibilidad sistemas objetivo debe seguir estando disponible en todo momento, evitando interrupciones del servicio debido a cortes de energía, fallos de hardware, y actualizaciones del sistema. Garantizar la disponibilidad implica también la prevención de ataque de denegación de servicio. La disponibilidad además de ser importante en el proceso de seguridad de la información, es además variada en el sentido de que existen varios mecanismos para cumplir con los niveles de servicio que se requiera, tales mecanismos se implementan en infraestructura tecnológica, servidores de correo electrónico, de bases de datos, de web etc, mediante el uso de clusters o arreglos de discos, equipos en alta disponibilidad a nivel de red, servidores espejo, replicación de datos, redes de almacenamiento (SAN), enlaces redundantes, etc. 2.3.4

Autenticación ó Autentificación

Es la propiedad que me permite identificar el generador de la información. Por ejemplo al recibir un mensaje de alguien, estar seguro que es de ese alguien el que lo ha mandado, y no una tercera persona haciéndose pasar por la otra (suplantación de indentidad). En un sistema informático se suele conseguir este factor con el uso de cuentas de usuario y contraseñas de acceso. 2.4

SERVICIOS DE SEGURIDAD

El objetivo de un servicio de seguridad es mejorar la seguridad de los sistemas de procesamiento de datos y la transferencia de información en las organizaciones. Los servicios de seguridad están diseñados para contrarrestar los ataques a la seguridad y hacen uso de uno o más mecanismos de seguridad para proporcionar el servicio. 2.4.1

Protocolos de Seguridad de la Información

Los protocolos de seguridad son un conjunto de reglas que gobiernan dentro de la transmisión de datos entre la comunicación de dispositivos para ejercer una confidencialidad, integridad, autenticación y el no repudio de la información. Se componen de: Criptografía (Cifrado de datos), se ocupa del cifrado de mensajes un mensaje es enviado por el emisor lo que hace es transposicionar o ocultar el mensaje hasta que llega a su destino y puede ser descifrado por el receptor. 

Lógica (Estructura y secuencia). Llevar un orden en el cual se agrupán los datos del mensaje el significado del mensaje y saber cuando se va enviar el mensaje. 



P á g i n a

1 6


Autenticación. Es una validación de identificación es la técnica mediante la cual un proceso comprueba que el compañero de comunicación es quien se supone que es y no se trata de un impostor. 

2.5

PLANIFICACION DE LA SEGURIDAD

Hoy en día la rápida evolución del entorno técnico requiere que las organizaciones adopten un conjunto mínimo de controles de seguridad para proteger su información y sistemas de información. El propósito del plan de seguridad del sistema es proporcionar una visión general de los requisitos de seguridad del sistema y se describen los controles en el lugar o los previstos para cumplir esos requisitos. El plan de seguridad del sistema también delinea las responsabilidades y el comportamiento esperado de todos los individuos que acceden al sistema. Debe reflejar las aportaciones de distintos gestores con responsabilidades sobre el sistema, incluidos los propietarios de la información, el propietario de la red, y el alto funcionario de la agencia de información de seguridad (SAISO). 2.5.1

Creación de un Plan de respuesta a incidentes

Es importante formular un plan de respuestas a incidentes, soportarlo a lo largo de la organización y probarlo regularmente. Un buen plan de respuestas a incidentes puede no sólo minimizar los efectos de una violación sino también, reducir la publicidad negativa. Desde la perspectiva del equipo de seguridad, no importa si ocurre una violación o abertura (pues tales eventos son una parte eventual de cuando se hacen negocios usando un método de poca confianza como lo es Internet), si no más bien cuando ocurre. El aspecto positivo de entender la inevitabilidad de una violación a los sistemas (cualquier sistema donde se procese información confidencial, no esta limitado a servicios informáticos) es que permite al equipo de seguridad desarrollar un curso de acciones para minimizar los daños potenciales. Combinando un curso de acciones con la experiencia le permite al equipo responder a condiciones adversas de una manera formal y oportuna. El plan de respuesta a incidentes puede ser dividido en cuatro fases: 







Acción inmediata para detener o minimizar el incidente Investigación del incidente Restauración de los recursos afectados Reporte del incidente a los canales apropiados



P á g i n a

1 7


Una respuesta a incidentes debe ser decisiva y ejecutarse rápidamente. Debido a que hay muy poco espacio para errores, es crítico que se efectúen prácticas de emergencias y se midan los tiempos de respuesta. De esta forma, es posible desarrollar una metodología que fomenta la velocidad y la precisión, minimizando el impacto de la indisponibilidad de los recursos y el daño potencial causado por el sistema en peligro. Un plan de respuesta a incidentes tiene un número de requerimientos, incluyendo: Un equipo de expertos locales (un Equipo de respuesta a emergencias de computación) 









Una estrategia legal revisada y aprobada Soporte financiero de la compañía Soporte ejecutivo de la gerencia superior Un plan de acción factible y probado

Recursos físicos, tal como almacenamiento redundante, sistemas en stand by y servicios de respaldo 2.5.1.1 Consideraciones legales 

Otros aspectos importantes a considerar en una respuesta a incidentes son las ramificaciones legales. Los planes de seguridad deberían ser desarrollados con miembros del equipo de asesoría jurídica o alguna forma de consultoría general. De la misma forma en que cada compañía debería tener su propia política de seguridad corporativa, cada compañía tiene su forma particular de manejar incidentes desde la perspectiva legal. Las regulaciones locales, de estado o federales están más allá del ámbito de este documento, pero se mencionan debido a que la metodología para llevar a cabo el análisis post-mortem, será dictado, al menos en parte, por la consultoría jurídica. La consultoría general puede alertar al personal técnico de las ramificaciones legales de una violación; los peligros de que se escape información personal de un cliente, registros médicos o financieros; y la importancia de restaurar el servicio en ambientes de misión crítica tales como hospitales y bancos. 2.5.1.2

Planes de Acción

Una vez creado un plan de acción, este debe ser aceptado e implementado activamente. Cualquier aspecto del plan que sea cuestionado durante la implementación activa lo más seguro es que resulte en un tiempo de respuesta pobre y tiempo fuera de servicio en el evento de una violación. Aquí es donde los ejercicios prácticos son invalorables. La implementación del plan debería ser acordada entre todas las partes relacionadas y ejecutada con seguridad, a menos que se U N J F S C - F I - I n g e n i e r í a


P á g i n a

1 8


llame la atención con respecto a algo antes de que el plan sea colocado en producción. La respuesta a incidentes debe ir acompañada con recolección de información siempre que esto sea posible. Los procesos en ejecución, conexiones de red, archivos, directorios y mucho más debería ser auditado activamente en tiempo real. Puede ser muy útil tener una toma instantánea de los recursos de producción al hacer un seguimiento de servicios o procesos maliciosos. Los miembros de CERT y los expertos internos serán recursos excelentes para seguir tales anomalías en un sistema. 2.6

EL MANEJO DE RIESGO

Dentro de la seguridad en la información se lleva a cabo la clasificación de las alternativas para manejar los posibles riegos que un activo ó bien puede tener dentro de los procesos en una empresa. Esta clasificación lleva el nombre de manejo de riegos. El manejo de riesgos, conlleva una estructura bien definida, con un control adecuado y su manejo, habiéndolos identificado, priorizados y analizados, a través de acciones factibles y efectivas. Para ello se cuenta con las siguientes técnicas de manejo del riesgo: Evitar. El riesgo es evitado cuando la organización rechaza aceptarlo, es decir, no se permite ningún tipo de exposición. Esto se logra simplemente con no comprometerse a realizar la acción que origine el riesgo. Esta técnica tiene más desventajas que ventajas, ya que la empresa podría abstenerse de aprovechar muchas oportunidades. 

Ejemplo: No instalar empresas en zonas sísmicas Reducir. Cuando el riesgo no puede evitarse por tener varias dificultades de tipo operacional, la alternativa puede ser su reducción hasta el nivel más bajo posible. Esta opción es la más económica y sencilla. Se consigue optimizando los procedimientos, la implementación de controles y su monitoreo constante. 

Ejemplo: No fumar en ciertas áreas, instalaciones eléctricas anti flama, planes de contingencia. Retener, Asumir o Aceptar el riesgo. Es uno de los métodos más comunes del manejo de riesgos, es la decisión de aceptar las consecuencias de la ocurrencia del evento. 

Puede ser voluntaria o involuntaria, la voluntaria se caracteriza por el reconocimiento de la existencia del riesgo y el acuerdo de asumir U N J F S C - F I - I n g e n i e r í a


P á g i n a

1 9


las perdidas involucradas, esta decisión se da por falta de alternativas. La retención involuntaria se da cuando el riesgo es retenido inconscientemente. Ejemplo de Asumir el riesgo: Con recursos propios se financian las pérdidas.

Transferir. Es buscar un respaldo y compartir el riesgo con otros controles o entidades. Esta técnica se usa ya sea para eliminar un riesgo de un lugar y transferirlo a otro, o para minimizar el mismo, compartiéndolo con otras entidades. 

Ejemplo: Transferir los costos a la compañía aseguradora 2.6.1

Medios de transmisión de ataques a los sistemas

de seguridad

El mejor en soluciones de su clase permite una respuesta rápida a Ilustración 2.6: Manejo las amenazas emergentes, tales como:de Riesgos 





Malware propagación por e-mail y Spam. La propagación de malware y botnets. Los ataques de phishing alojados en sitios web.



P á g i n a

2 0


Los ataques contra el aumento de lenguaje de marcado extensible (XML) de tráfico, arquitectura orientada a servicios (SOA) y Web Services. 

Estas soluciones ofrecen un camino a la migración y la integración. Como las amenazas emergentes, cada vez más generalizada, estos productos se vuelven más integrados en un enfoque de sistemas. En la actualidad gracias a la infinidad de posibilidades que se tiene para tener acceso a los recursos de manera remota y al gran incremento en las conexiones a la internet los delitos en el ámbito de TI se han visto incrementado, bajo estas circunstancias los riesgos informáticos son más latentes. Los delitos cometidos mediante el uso de la computadora han crecido en tamaño, forma y variedad. Los principales delitos hechos por computadora o por medio de computadoras son: 





Fraudes Falsificación Venta de información

Entre los hechos criminales más famosos en los Estados Unidos están: El caso del Banco Wells Fargo donde se evidencio que la protección de archivos era inadecuada, cuyo error costo USD 21.3 millones. 

El caso de la NASA donde dos alemanes ingresaron en archivos confidenciales. 

El caso de un muchacho de 15 años que entrando a la computadora de la Universidad de Berkeley en California destruyo gran cantidad de archivos. 

También se menciona el caso de un estudiante de una escuela que ingreso a una red canadiense con un procedimiento de admirable sencillez, otorgándose una identificación como un usuario de alta prioridad, y tomo el control de una embotelladora de Canadá. 

También el caso del empleado que vendió la lista de clientes de una compañía de venta de libros, lo que causo una pérdida de USD 3 millones. 

También el caso de estudiantes de Ingeniería electrónica donde accedieron al sistema de una Universidad de Colombia y cambiaron las notas de sus compañeros generando estragos en esta Universidad y retrasando labores, lo cual dejó grandes perdidas económicas y de tiempo.2 



P á g i n a

2 1


Históricamente los virus informáticos fueron descubiertos por la prensa el 12 de octubre 1985, que con una publicación del New York Times que Ilustración 2.6.2:de Actores amenazan hablaba de un virus que fue se la seguridad. distribuyo desde un BBS y aparentemente era para optimizar los sistemas IBM basados en tarjeta gráfica EGA, pero al ejecutarlo salía la presentación pero al mismo tiempo borraba todos los archivos del disco duro, con un mensaje al finalizar que decía "Caíste".

2.6.2 

Actores que amenazan la seguridad

Un hacker es cualquier persona con amplios conocimientos en tecnología, bien puede ser informática, electrónica o comunicaciones, mantiene permanentemente actualizado y conoce a fondo todo lo relacionado con programación y sistemas complejos; es un investigador nato que se inclina ante todo por conocer lo relacionado con cadenas de datos cifrados y las posibilidades de acceder a cualquier tipo de "información segura". Su formación y las habilidades que poseen les da una experticia mayor que les permite acceder a sistemas de información seguros, sin ser descubiertos, y también les da la posibilidad de difundir sus conocimientos para que las demás personas se enteren de cómo es que realmente funciona la tecnología y conozcan las debilidades de sus propios sistemas de información. Un cracker, es aquella persona con comportamiento compulsivo, que alardea de su capacidad para reventar sistemas electrónicos e informáticos. Un cracker es un hábil conocedor de programación de Software y Hardware; diseña y fabrica programas de guerra y hardware para reventar software y comunicaciones como el teléfono, el correo electrónico o el control de otros computadores remotos. 

Un lammer es aquella persona deseosa de alcanzar el nivel de un hacker pero su poca formación y sus conocimientos les impiden realizar este sueño. Su trabajo se reduce a ejecutar 



P á g i n a

2 2


programas creados por otros, a bajar, en forma indiscriminada, cualquier tipo de programa publicado en la red. Un copyhacher' es una persona dedicada a falsificar y crackear hardware, específicamente en el sector de tarjetas inteligentes. Su estrategia radica en establecer amistad con los verdaderos Hackers, para copiarles los métodos de ruptura y después venderlos los bucaneros. Los copyhackers se interesan por poseer conocimientos de tecnología, son aficionados a las revistas técnicas y a leer todo lo que hay en la red. Su principal motivación es el dinero. 

Un "bucanero" es un comerciante que depende exclusivamente de de la red para su actividad. Los "bucaneros" no poseen ningún tipo de formación en el área de los sistemas, si poseen un amplio conocimiento en área de los negocios. 

Un phreaker se caracterizan por poseer vastos conocimientos en el área de telefonía terrestre y móvil, incluso más que los propios técnicos de las compañías telefónicas; recientemente con el auge de los teléfonos móviles, han tenido que entrar también en el mundo de la informática y del procesamiento de datos. 

Un newbie o "novato de red" es un individuo que sin proponérselo tropieza con una página de hacking y descubre que en ella existen áreas de descarga de buenos programas de hackeo, baja todo lo que puede y empieza a trabajar con ellos. 

Un script kiddie o skid kiddie, es un simple usuario de Internet, sin conocimientos sobre hackeo o crackeo que, aunque aficionado a estos tema, no los conoce en profundidad limitándose a recopilar información de la red y a buscar programas que luego ejecuta, infectando en algunos casos de virus a sus propios equipos. 

Un tonto o descuidado, es un simple usuarios de de la informacion, con o sin conocimientos sobre hackeo o crackeo que accidentalmente borra daña o modifica la informacion, ya sea en un mantenimiento de rutina o supervision. 

2.7 GOBIERNO DE LA SEGURIDAD DE LA INFORMACIÓN Un término a tomar en cuenta en el área de la seguridad de la información es su Gobierno dentro de alguna organización empezando por determinar los riesgos que le atañen y su forma de reducir y/o mitigar impactos adversos a un nivel aceptable mediante el establecimiento de un programa amplio y conciso en seguridad de la información y el uso efectivo de recursos cuya guía principal sean los objetivos del negocio, es U N J F S C - F I - I n g e n i e r í a


P á g i n a

2 3


decir, un programa que asegure una dirección estratégica enfocada a los objetivos de una organización y la protección de su información.

2.8 TECNOLOGÍAS Las principales tecnologías referentes a la seguridad de la información en informática son:[4] •

Cortafuegos

•

Administración de cuentas de usuarios

•

Detección y prevención de intrusos

•

Antivirus

•

Infraestructura de llave publica

•

Capas de Socket Segura (SSL)

•

Conexión única "Single Sign on- SSO"

•

Biométria

•

Cifrado

•

Cumplimiento de privacidad

•

Acceso remoto

•

Firma digital

•

•

•

Intercambio electrónico de Datos "EDI" y Transferencia Electrónica de Fondos "EFT" Redes Virtuales Privadas "VPNs" Transferencia Electrónica Segura "SET"

•

Informática Forense

•

Recuperación de datos

•

Tecnologías de monitoreo

2.9 ESTÁNDARES DE SEGURIDAD DE LA INFORMACIÓN •

ISO/IEC 27000-series

•

ISO/IEC 27001

•

ISO/IEC 17799



P á g i n a

2 4


2.10 OTROS ESTÁNDARES RELACIONADOS •

COBIT

•

ITIL

2.11 CERTIFICACIONES •

CISM - CISM Certificaciones: Certified Information Security Manager

•

CISSP - CISSP Certificaciones: Security Professional Certification

•

GIAC - GIAC Certificaciones: Global Information Assurance Certification



P á g i n a

2 5


Capítulo I:

SEGURIDAD DE LA INFORMACIÓN



P á g i n a

2 6


2.12 DEFINICIÓN Cada vez, en mayor medida, las organizaciones dependen de sus sistemas informáticos para el éxito de sus operaciones. Cualquier empresa que tenga un computador —así no se encuentre conectado a la red— que maneje bases de datos o un sistema de facturación, necesita de medidas de respaldo y de contingencia para proteger su información.

En nuestro medio no existe una conciencia acerca de la importancia de la seguridad informática, debida a que las organizaciones se concentran en su core business y piensan que nunca van a ser atacadas o vulneradas en sus sistemas informáticos. Por esta misma razón no le asignan al tema de la seguridad informática la importancia que merece hasta que se presenta una eventualidad que hace reconsiderar ese aspecto pero a unos costos altísimos por efectos de la penetración. Cuando se presenta un ataque, la crisis pone a cualquier compañía en desventaja frente a sus competidores, incluso, puede causar su quiebra si no responde con rapidez a las exigencias del mercado. Por ello, es vital para toda organización el aseguramiento de su información, proceso que debe ser acompañado permanentemente para conseguir resultados confiables. Cabe destacar que la seguridad de los sistemas, por mayores soluciones que se implementen, nunca será del 100 por ciento; por ello aunque una compañía ya cuente con un sistema de seguridad informática, es necesario que sea probado o auditado por un tercero, para descubrir sus niveles de vulnerabilidad, que entre otros, puede originarse al interior de la compañía. 2.12.1 Pasos organización

para

minimizar

los

riesgos

en

una

Entre los activos más importantes de una organización está la información y por tanto, la custodia de la misma, es un factor relevante para su continuidad y éxito profesional.



P á g i n a

2 7


El establecimiento de metodologías, prácticas y procedimientos que buscan proteger la información como activo valioso, es el objetivo del conjunto de estándares de la ISO/IEC 27000. En este sentido, con el fin de minimizar las amenazas y riesgos continuos a los que está expuesta cualquier organización y a efectos de asegurar la continuidad de negocio y minimizar los daños, se desarrollan una serie de pasos de aplicación: 1. Elaboración de un Inventario de Activos: la información es poder, dice una de las consignas más antiguas en el mundo de los negocios, sin embargo, en la mayoría de las organizaciones se desconoce ese gran valor; de esta forma, la identificación, la categorización, la descripción, la asignación de propietarios y la localización de los activos de información es la base para la correcta gestión de la seguridad en cualquier empresa. 2. La Valoración de los Activos: una vez que la organización tiene identificados sus activos de información, debe valorarlos. La organización debe evaluar mediante una serie de parámetros los efectos que pudieran derivar en eventuales fallos de seguridad. En este sentido, se abordan los tres parámetros básicos en la seguridad: o

o

o

Confidencialidad: a la información solo pueden acceder las personas autorizadas para ello. Integridad: la información ha de estar completa y correcta en todo momento. Disponibilidad: la información estará lista para acceder a ella o utilizarse cuando se necesita.

3. Análisis de Riesgos: existen numerosas metodologías para la elaboración del análisis de riesgos, cada organización ha de escoger aquella que se ajuste a sus necesidades. En todo caso, el objetivo del análisis es separar los riesgos menores de los mayores y proveer de información para el tratamiento de los mismos. Centrándonos en el contexto de un análisis de riesgos, la organización ha de analizar las consecuencias sobre el origen del riesgo: •

•

La determinación de la consecuencia (IMPACTO). La probabilidad (PROBABILIDAD).


de

que

esas


consecuencias

suceda

P á g i n a

2 8

“Seguridad de la Información” •

•

Las debilidades asociadas a los activos (VULNERABUILIDADES) Las causas o pérdidas potenciales de los activos de información (AMENAZAS)

4. Tratamiento de los Riesgos y Selección de los Controles: Una vez que la organización conoce los riesgos, ha de definir las acciones a tomar:

Gestionar el riesgo: la organización ha de seleccionar objetivos de control y controles para gestionar los riesgos identificados. En esta selección ha de tenerse en cuenta los criterios de aceptación de riegos, además de los requisitos legales, reglamentarios y contractuales. a)

b) Aceptar los riesgos de manera consciente y objetiva. Los riesgos que se han asumido, han de ser controlados y revisados periódicamente de cara a evitar que evolucionen y se conviertan en riesgos mayores. c) Transferir los riesgos: se traspasa el riesgo por ejemplo subcontratando el servicio. d) Eliminar el riesgo, si bien no es una práctica muy común en las organizaciones, si se cree necesario, habrá que establecer los pasos para conseguirlo. Ahora bien, ningún control nos puede ofrecer nunca seguridad absoluta, y por lo tanto siempre quedará un riesgo residual. La dirección de la organización, una vez definido el grado de aseguramiento requerido para los controles del Sistema de Gestión de Seguridad de la Información, deberá aceptar el riesgo residual y esto deberá ser tenido en cuenta si se produce un incidente de seguridad. Por último, cabe destacar que en la mayoría de las organizaciones no se le asigna a la Seguridad de la Información la importancia que merece hasta que se presenta una eventualidad que hace considerar ese aspecto. Por ello, cabe destacar la importancia y las grandes ventajas que hoy en día tiene la implantación de estos referenciales. 2.12.2

La seguridad física en una empresa

2.12.2.1 Haga copias de seguridad (backup) Es la primera y la más importante de las medidas de seguridad. No deje ningún día de hacer una copia de seguridad de la información de su empresa. Hay distintas formas de organizar las copias, pero una bastante U N J F S C - F I - I n g e n i e r í a


P á g i n a

2 9


sencilla y eficiente es tener una cinta o disco por cada día laborable de la semana, de este modo, si la copia más reciente fallara, puede utilizar otra hecha sólo 24 horas antes. Guarde la cinta o disco del último día de la semana en un lugar distinto a la sede de su empresa, porque sino en caso de robo o incendio puede perder toda la información. Aunque pueda parecer increíble, el incidente grave que se produce con más frecuencia es la pérdida de información por no haber seguido una política correcta de copias de seguridad. 2.12.2.2 Utilice sistemas de alimentación ininterrumpida (SAI) Para evitar que los procesos en curso se interrumpan bruscamente en caso de corte del suministro eléctrico y para filtrar los “microcortes” y picos de intensidad, que resultan imperceptibles pero que pueden provocar averías en los equipos, es muy aconsejable disponer de sistemas de alimentación ininterrumpida, al menos para los servidores y equipos más importantes. 2.12.2.3 Asigne nombres de usuario y contraseñas a los empleados Para identificar a las personas que acceden a sus sistemas es posible configurar los ordenadores de forma que al arrancar soliciten al usuario su nombre y contraseña, y otro tanto ocurre con muchos programas. Utilice estas opciones y no deje libre el acceso a los ordenadores de su empresa, sino que proporcione a cada empleado un nombre de usuario y una contraseña, y cuide de que mantengan esta en secreto. Las contraseñas no han de ser nombres propios ni palabras del diccionario, deben tener una longitud de al menos ocho caracteres y, preferiblemente, algunos de éstos deben ser números o signos de puntuación. También aumenta la seguridad el combinar mayúsculas y minúsculas. Por último, no olvide cambiar las contraseñas periódicamente. 2.12.2.4 Comience a utilizar la firma electrónica Los certificados electrónicos permiten realizar numerosos trámites con las Administraciones a través de Internet así como firmar los documentos electrónicos de forma que estos pueden sustituir al papel en documentos auténticos. Hay certificados para personas físicas, como el DNI electrónico, y para empresas, como los emitidos por las Cámaras de Comercio (Camerfirma), los Registradores (SCR) o los Notarios (ANCERT). Otra clase de certificados son los de servidor. Estos no se utilizan para firmar, sino que identifican a los sitios web y cifran la conexión para que no pueda ser leída por terceros. No introduzca ni solicite datos en Internet sin que la conexión esté cifrada. U N J F S C - F I - I n g e n i e r í a


P á g i n a

3 0


2.12.2.5 Instale antivirus en los ordenadores Tener un antivirus actualizado es una medida básica de seguridad, instale uno en todos los equipos y manténgalo actualizado. Tenga en cuenta, además, que algunos virus aprovechan vulnerabilidades del sistema operativo y para protegerse de ellos hay que instalar las actualizaciones que publica el fabricante (en el caso de Windows es aconsejable activar la opción de Actualizaciones Automáticas). También pueden llegar virus en un correo electrónico, así que nunca abra mensajes de origen desconocido y elimínelos lo antes posible de su ordenador. Tenga en cuenta que se suelen elegir asuntos que despiertan la curiosidad del destinatario. Otro medio de infección es la instalación de plugins, conteste NO cuando el sistema le diga que se va a instalar un programa si no conoce la procedencia del mismo. 2.12.2.6 Defiéndase de los programas espía (spyware)

Hay programas que se instalan de forma oculta en un ordenador y pueden enviar a quien los controla la información contenida en el mismo e incluso las contraseñas que se tecleen en él, y también le permiten convertirlo en un zombie y utilizarlo para sus propios fines. Los programa anti-espías nos protegen de este software, pero desconfíe de aquellos que se le ofrezcan sin haberlos buscado expresamente, porque algunos programas desinstalan los espías que encuentran en su equipo sólo para instalar uno propio. 2.12.2.7 La información dañina o no deseada Utilice un cortafuegos (firewall) Los cortafuegos son programas que analizan la información que entra y sale de un ordenador o de la red de la empresa. Evitan los ataques desde el exterior y, además, permiten detectar los programas espía, ya que nos avisan de que hay procesos desconocidos intentando enviar información a Internet. Junto con el antivirus es una de las medidas básicas de seguridad para los ordenadores conectados a Internet. 2.12.2.8 Evite el correo electrónico no deseado (spam)

No dé la dirección de correo a cualquiera, le ayudará a evitar el spam. Si recibe correo de origen desconocido no lo abra, porque puede introducirle un virus, ni lo conteste, porque si contesta confirma al que lo envió que la dirección es correcta y está activa. Tampoco publique direcciones personales en el web de la empresa, utilice mejor direcciones corporativas. Los programas de correo tienen utilidades para filtrar el spam y también hay programas específicos y empresas especializadas que ofrecen el servicio de filtrar, con un elevado grado de eficacia, el correo que llega a su empresa. U N J F S C - F I - I n g e n i e r í a


P á g i n a

3 1


Y, por supuesto, no envíe propaganda por correo electrónico a quien no le haya autorizado previamente para ello, ya que podrá ser sancionado como spamer por la Agencia de Protección de Datos. 2.12.2.9 La protección de datos de carácter personal Registre los ficheros Es muy probable que su empresa maneje ficheros con datos de carácter personal. Recuerde que debe inscribirlos en el Registro de la Agencia Española de Protección de Datos. Para ello dispone de un formulario en el web de la Agencia (www.agpd.es). Normalmente en una empresa los ficheros a inscribir son los de personal, clientes y proveedores. Dedique un poco de tiempo a ello o, si lo prefiere, consulte a un profesional especializado. 2.12.2.10 Tenga cuidado si da los datos a un tercero Si la información de los ficheros de datos de carácter personal se cede, de forma total o parcial, a otra persona o empresa, estamos ante una comunicación de datos y es obligatorio contar con el consentimiento de los titulares de los datos. Si la cesión se hace sólo para que un tercero le preste un servicio como, por ejemplo, enviar un mailing, se trata de un tratamiento de datos por cuenta de tercero. En este caso es preciso firmar un contrato específico con la persona o entidad destinataria estableciendo expresamente que los datos se tratarán únicamente conforme a sus instrucciones y que no serán utilizados con un fin distinto ni cedidos, bajo ningún concepto, a otras personas. 2.12.2.11 Elabore el Documento de Seguridad de su empresa El Reglamento de Medidas de Seguridad de la LOPD establece tres niveles de seguridad en función del tipo de datos personales que se manejan. El básico se aplica a todos, el medio a los datos de carácter financiero y el alto a los relativos a la salud, ideología, religión y creencias. Es obligatorio disponer de un Documento de Seguridad conforme al nivel de seguridad que corresponda a sus ficheros. Una buena idea es aprovechar la obligación que la Ley impone para los datos personales y extender las medidas de seguridad de éstos a toda la información de la empresa. 2.12.2.12 Defina unos objetivos Una idea clave es que la seguridad no es una cuestión que pueda dejarse a escalones inferiores de la organización, sino que debe ser asumida por la dirección al más alto nivel. Ésta deberá marcar la estrategia, definiendo las medidas que se van a implantar, así como las funciones y las responsabilidades de los miembros de la empresa en relación con la seguridad. En las grandes organizaciones estos extremos se plasman en



P á g i n a

3 2


un documento llamado Plan de Seguridad, que se actualiza periódicamente. 2.12.2.13 Conciencie a sus empleados Los expertos en seguridad saben que el factor humano es siempre el eslabón más débil. Ninguna medida de seguridad funciona si las personas que han de aplicarla no están debidamente informadas, formadas y, sobre todo, concienciadas. Además, es preciso mantener esta concienciación a lo largo del tiempo ya que siempre hay una tendencia a relajarse en el cumplimiento de las medidas de seguridad. 2.12.3 10 mandamientos información en la empresa

de

la

seguridad

de

la

ESET creemos firmemente que todas las empresas están preparadas para afrontar este desafío, y para ello, qué mejor que conocer los principios que deben regir la protección de la información. Para ello, hemos desarrollado este material el cual ponemos a disposición del público: los 10 mandamientos de la seguridad corporativa.

1. Definirás una política de seguridad: es el documento que rige toda la seguridad de la información en la compañía. ¿Algunos consejos? Que no sea muy extensa (ningún empleado podrá comprometerse con un documento de cincuenta páginas), que sea realista (pedirle a los empleados cosas posibles, ya que sino perderán credibilidad) y que se les de valor (otra recomendación: que las mismas sean entregadas a los empleados por los altos cargos o el departamento de Recursos Humanos, en lugar del soporte técnico de IT). 2. Utilizarás tecnologías de seguridad: son la base de la seguridad de la información en la empresa. Una red que no cuente con protección antivirus, un firewall o una herramienta antispam; estará demasiado expuesta como para cubrir la protección con otros controles. Según lo presentado en el ESET Security Report Latinoamérica, el 38% de las empresas de la región se infectaron con malware el último año. 3. Educarás a tus usuarios: Es necesaria la aclaración: educarás a todos tus usuarios. Los usuarios técnicos o del departamento de IT suelen ser omitidos en este tipo de iniciativas, como si estuviera comprobado que están menos expuestos a las amenazas informáticas. Según las estadísticas de ThreatSense.Net, el 45% de las amenazas detectadas en la región utilizan Ingeniería Social, por lo que atentan contra el desconocimiento del usuario para infectarlo. 4. Controlarás el acceso físico a la información: la seguridad de la información no es un problema que deba abarcar sólo la información U N J F S C - F I - I n g e n i e r í a


P á g i n a

3 3


“virtual”, sino también los soportes físicos donde ésta es almacenada. ¿Dónde están los servidores? ¿Quién tiene acceso a ellos? Sin lugar a dudas, el acceso físico es fundamental. También deben ser considerados los datos impresos, como por ejemplo el acceso físico a oficinas con información confidencial (el gerente, el contador, entre otros.); o el acceso a las impresoras (¿alguien podría tomar “accidentalmente” información confidencial?). 5. Actualizarás tu software: las vulnerabilidades de software son la puerta de acceso a muchos ataques que atentan contra la organización. Según el informe sobre el estado del malware en Latinoamérica, el 41% de los dispositivos USB están infectados y el 17% del malware utiliza explotación de vulnerabilidades. Mantener tanto el sistema operativo, como el resto de las aplicaciones, con los últimos parches de seguridad, es una medida de seguridad indispensable. 6. No utilizarás a IT como tu equipo de Seguridad Informática: es uno de los errores más frecuentes, y omiten la importancia de entender que la seguridad, no es un problema meramente tecnológico. Además, es importante que exista un área cuyo único objetivo sea la seguridad de la información, y esta no pueda ser relegada por otros objetivos asociados a la usabilidad, como por ejemplo la instalación y puesta a punto de determinado servicio, según las necesidades comerciales. 7. No usarás usuarios administrativos: de esta forma, una intrusión al sistema estará limitada en cuánto al daño pueda causar en el mismo. Una vez más, vale destacar la importancia de aplicar este control a toda la empresa: los integrantes del departamento de IT o la alta gerencia, también deben utilizar permisos limitados en el uso diario de la computadora. 8. No invertirás dinero en seguridad, ¡sin pensar!: la seguridad debe ser concebida para proteger la información y, por ende, el negocio. Hacer inversiones en seguridad, sin medir el valor de la información que se está protegiendo, y la probabilidad de pérdidas por incidentes; puede derivar en dinero mal invertido, o básicamente en dinero perdido. La seguridad debe proteger la información, el valor de esta y, como se dijo, el negocio. Para ello, es importante calcular… ¡y pensar! 9. No terminarás un proyecto en seguridad: se que parece extraña, pero no lo es, porque… ¡tampoco empezarás un proyecto! La seguridad debe ser concebida como un proceso continuo, no termina. Es cierto que pequeñas implementaciones de los controles pueden necesitar de proyectos, pero la protección general de la información no puede ser



P á g i n a

3 4


pensada como un proyecto, sino como una etapa de mejora continua, como una necesidad permanente del negocio. 10. No subestimarás a la seguridad de la información: finalmente, entender el valor que asigna al negocio tener la información protegida, es nuestro último y quizás más importante mandamiento. Pensar que un control no debe implementarse, porque “no creo que esto me ocurra”, es uno de los peores errores que un ejecutivo puede cometer y, en caso de que ocurra, serán muchos los que deban arrepentirse: muchas empresas, especialmente las pequeñas y medianas, no pueden recuperarse de un incidente de gravedad contra la seguridad de la información.

Estos son, a nuestro criterio, los diez mandamientos de la seguridad en la empresa. Es momento de ponerse a trabajar: a cuidar la empresa.



P á g i n a

3 5


3 Complementarias También forman parte del índice y no deben excluirse de ningún trabajo monográfico. En la tabla 3.1 se muestran estas partes denominadas complementarias:

Tabla 3.3: Parte Descripción 1. Glosario Es la lista de términos –ordenados alfabéticamente- usados en el trabajo y que resultan poco conocidos. En esta lista se presentan los significados de estos términos. 2. Siglario Es la lista de acrónimos y siglas usadas en el documento, con su significado correspondiente. 3. Anexos Son documentos o adiciones que complementan el cuerpo o texto del trabajo (Opcional). 4. Bibliografía Es la lista de los libros y documentos que se han usado en el trabajo.



P á g i n a

3 6


4 CONCLUSIONES 1.

En la Seguridad de la Información el objetivo de la protección son los datos mismos y trata de evitar su perdida y modificación non-autorizado. La protección debe garantizar en primer lugar la confidencialidad, integridad y disponibilidad de los datos, sin embargo existen más requisitos como por ejemplo la autenticidad entre otros.

2. La tecnología de Información al igual que muchas ciencias tuvo su debido proceso de avance, lo que ha dado como resultado que ahora sea una de las ciencias que se relacionan con casi todo en el mundo lleno de necesidades en el que vivimos. 3. El motivo o el motor para implementar medidas de protección, que responden a la Seguridad de la Información, es el propio interés de la institución o persona que maneja los datos, porque la perdida o modificación de los datos, le puede causar un daño (material o inmaterial). 4. Si bien existen medios tecnológicos o técnicos que permiten mejorar la seguridad, actualmente no son suficientes por si solos, debemos complementarlos con un detallado análisis de los puntos de riesgo, una cuidadosa planificación de los controles a realizar, una gestión de seguridad que involucre a todos y una adecuada implementación de procedimientos de acuerdo a lo relevado. 5. En primer lugar, no podemos perder de vista la acividad de nuestro negocio y lo que este nos exige día a día, por lo tanto, conviene establecer una Política concisa y clara, sin rodeos ni “obligaciones” que posteriormente, por las características de nuestra organización, no podemos cumplir.



P á g i n a

3 7


5 GLOSARIO Copia de seguridad (backup): Volcado de los datos a otro soporte para disponer de varias copias de los mismos. No se incluyen los programas, por lo que el volumen de información no suele ser muy grande. En grandes sistemas el medio más utilizado son las cintas, pero en pequeñas empresas se utilizan disquetes, CDs o DVDs regrabables o memorias USB (pendrives). Cortafuegos (firewall): Dispositivo que analiza la información que entra y sale de un ordenador o de una red. Si la empresa tiene red local se coloca en la conexión de esta con Internet. El cortafuegos se configura para que sólo determinados programas puedan intercambiar información con Internet. Spam: Correo electrónico no deseado. Se ha convertido en uno de los principales problemas de Internet, ya que se calcula que supone más del 80% del correo que circula por la red. Se denomina spamers a quienes lo envían, valiéndose de programas al efecto (robots). En España el organismo encargado de combatir el spam es la Agencia Española de Protección de Datos. Spyware: Programas que envían información sobre las acciones del usuario. Algunos son legítimos como, por ejemplo, la barra de Google si la autorizamos para que envíe información sobre nuestras búsquedas. Otros se instalan subrepticiamente y envían la información sin nuestro consentimiento. Titular de los datos: Es la persona física a la que se refieren los datos de carácter personal. Virus: Habitualmente se denomina virus a todo el software maligno o malware, pero propiamente sólo son virus los programas que necesitan del usuario para propagarse, mientras que los gusanos se propagan sin intervención humana. Otro tipo de malware, los troyanos, se disfrazan de programas útiles.



P á g i n a

3 8


6 SIGLARIO 1.

SIE: Sistemas De Información Estratégicos

2.

TI: Tecnología de Información.

3.

TIC:Tecnologías de la Información y la Comunicación.

4. CriptoRed Red Temática de Criptografía y Seguridad de la Información (más de 400 documentos, libros, software y vídeos freeware) 5. D.I.M.E. Dirección de Informática del Ministerio de Economía de la República Argentina. 6. INTECO-CERT Centro de Respuesta a Incidentes de Seguridad (Información actualizada sobre toda



P á g i n a

3 9

MONOGRAFIA SEGURIDAD

Recommend Documents