Seguridad en Centros de Cómputo

Clasificación General de las Instalaciones

Instalaciones de alto riesgo:

Las instalaciones de alto riesgo tienen las siguientes características:

Datos o programas que contienen información confidencial de interés nacional oque poseen un valor competitivo alto en el mercado.

Pérdida financiera potencial considerable para la comunidad a causa de undesastre o de un gran impacto sobre los miembros del público.

Pérdida potencial considerable para la institución y, en consecuencia, unaamenaza potencial alta para su subsistema.

Todas las instalaciones de riesgo alto presentan una o más de esas características.Por ello, resultará generalmente fácil identificarlas.

Seguridad en Centros de Cómputo

Instalación de bajo riesgo:

Son aquellas con aplicaciones cuyo procesamiento retardado tiene poco impacto material en la institución en términos de costo o de reposición del servicio interrumpido.

Instalación de riesgo medio:

Son aquellas con aplicaciones cuya interrupción prolongada causa grandesinconvenientes y posiblemente el incremento de los costos; sin embargo, se obtienepoca pérdida material.

Clasificación General de las Instalaciones


Cuantificación del Riesgo

El método más práctico para resolver el problema es comenzar por entrevistar atodos los directivos afectados por una suspensión en el procesamiento y pedirlesque cuantifiquen el impacto causado por la situación.

Las respuestas iniciales tal vez varíen en gran medida.

Algunos mencionarán pérdidas mínimas debido a procedimientos de apoyomanuales, mientras otros indicarán pérdidas altas.


Obtención del consenso sobre los niveles de riesgo

Este paso permite lograr el compromiso de la dirección con el nivel de riesgodefinido.

Se debe programar una reunión de los directivos correspondientes, en la cual seinformará sobre las expresiones de riesgos debidamente tabuladas.

El propósito de la reunión será lograr el consenso sobre los niveles de riesgo, que porlo general se presentan como rangos más que como cifras absolutas.


http://www.municipiobanos.gob.ec/banos/images/LOTAIP2015/plan%20de%20contingencia%20informatico.pdf


Surgen como implementación de las políticas de seguridad.

Diseñar sistemas mediante criterios de seguridad es más complejo, pues las amenazas son en muchos casos poco cuantificables y muy variadas.

Proteger el sistema supone un análisis y cuantificación previa de los riesgos o vulnerabilidades del sistema.

Estas medidas llevan un costo idóneo que obliga a subordinar algunas de las ventajas del sistema.

Las medidas de seguridad que pueden establecerse en un sistema informático son de cuatro tipos fundamentales: lógicas, físicas, administrativas y legales. Vamos a verlas con más detalle

Medidas de Seguridad


Tipo de Medida Descripción

Física

Constituyen mecanismos para impedir el acceso directo o físico noautorizado al sistema. Permiten protegen al sistema de desastres naturaleso condiciones medioambientales adversas. Se trata fundamentalmente deestablecer un perímetro de seguridad en nuestro sistema.

Factores a considerar:• El acceso físico al sistema por parte de personas no autorizadas• El Los daños físicos por parte de agentes nocivos o contingencias• Las medidas de recuperación en caso de fallo

• Control de las condiciones medioambientales• Prevención de catástrofes• Vigilancia• Sistemas de contingencia• Sistemas de recuperación• Control de la entrada y salida de material



Lógicas

Incluye las medidas de acceso a los recursos y a la información y al usocorrecto de los mismos, así como a la distribución de las responsabilidadesentre los usuarios. Se refiere más a la protección de la informaciónalmacenada.

• Establecimiento de una política de control de accesos.• Definición de una política de instalación y copia de software.• Uso de la criptografía para proteger los datos y las comunicaciones.• Uso de cortafuegos para proteger una red local de Internet.• Definición de una política de copias de seguridad.• Definición de una política de monitorización (logging) y auditoria

(auditing) del sistema

• Dentro de las medidas lógicas se incluyen también aquellas relativas alas personas y que podríamos denominar medidas humanas. Se trata dedefinir las funciones, relaciones y responsabilidades de distintos usuariospotenciales del sistema.



Administrativas

Son aquellas que deben ser tomada por las personas encargadas dedefinir la política de seguridad para ponerla en práctica, hacerla viable yvigilar su correcto funcionamiento.

• Documentación y publicación de la política de seguridad y de lasmedidas tomadas para ponerla en práctica.

• Debe quedar claro quien fija la política de seguridad y quien la pone enpráctica.

• Establecimiento de un plan de formación del personal.

• Los usuarios deben tener los conocimientos técnicos necesarios parausar la parte del sistema que les corresponda.

• Los usuarios deben ser conscientes de los problemas de seguridad de lainformación a la que tienen acceso.

• Los usuarios deben conocer la política de seguridad de la empresa y lasmedidas de seguridad tomadas para ponerla en práctica.



Legales

Se refiere más a la aplicación de medidas legales para disuadir al posibleatacante o para aplicarle algún tipo de castigo a posteriori.

• Este tipo medidas trascienden el ámbito de la empresa y normalmenteson fijadas por instituciones gubernamentales e incluso institucionesinternacionales.

• Los usuarios deben tener los conocimientos técnicos necesarios parausar la parte del sistema que les corresponda.

• Los usuarios deben ser conscientes de los problemas de seguridad de lainformación a la que tienen acceso.

• Los usuarios deben conocer la política de seguridad de la empresa y lasmedidas de seguridad tomadas para ponerla en práctica.

Constituye una presentación formal y responsable de acciones específicas a tomarcuando surja un evento o condición que no esté considerado en el proceso normalde operación de un centro de cómputo.

Conjunto de procedimientos de recuperación para casos de desastre; es un planformal que describe pasos apropiados que se deben seguir en caso de un desastreo emergencia.

Materializa un riesgo, ya que se pretende reducir el impacto de éste.

Plan de Contingencias


-Prevención: conjunto de acciones a realizar para prevenir cualquier contingencia queafecte la continuidad operativa, ya sea en forma parcial o total. A fin de reducir suimpacto y restablecer a la brevedad posible los diferentes servicios interrumpidos.

- Detección. Deben contener el daño en el momento, así como limitarlo tanto como seaposible, contemplando todos los desastres naturales y eventos noconsiderados.

-Recuperación. Abarcan el mantenimiento de partes críticas entre la pérdida del servicio ylos recursos, así como su recuperación o restauración.


Plan de Contingencias

http://www.cvs.gov.co/jupgrade/images/stories/docs/varios/Politicas_de_Seguridad_Act.pdf

Planes y simulacros para la recuperación en caso de desastres

Tipos de desastre– Destrucción completa de los recursos centralizados.– Destrucción parcial de los recursos centralizados.– Destrucción o mal funcionamiento de los recursos ambientales

(climas, energía)– Destrucción total o parcial de los recursos descentralizados– Destrucción total o parcial de los procedimientos manuales de

usuario (captura de datos)– Perdida del personal de computo clave.– Interrupción por huelga.


Alcance de la planeación contra desastres– Aplicaciones en el proceso de desarrollo

• Documentación de los sistemas• La programación (código fuente) • Manual de operación

– Aplicaciones terminadas• Lo anterior más:• Todo tipo equipo (pisapapeles – servidores)• Datos y archivos• Papelería y mensajería• Procedimientos en caso de desastres (documento)



Simulacros de desastres

– Importancia.

• Se prueban la conciencia y preparación del personal para afrontar el desastre.

• Se identifican las omisiones en los planes contra desastres.

• El elemento sorpresa de los simulacros de desastres constituye una buena verificación moral para garantizar que se encuentren vigentes, en forma rutinaria, buenas practicas de seguridad.



• Simulacros de desastres– Alcance

• Parcial o total• Procedimientos de usuarios• Aspectos de computación

– Frecuencia • Esporádica• Sorpresiva• No se debe anunciar• Una dos personas enteradas• En momentos convenientes y no convenientes



Simulacros de desastres

– Forma del simulacro.

• Anunciar el tipo de desastre.

• Todo el trabajo debe cesar.

• Tomar nota del estado del procesamiento

• Completar un inventario de la información destruida

• Recomenzar el trabajo o continuar simulacro durante el uso del equipo de respaldo.



Simulacros de desastres– Análisis de impacto

• Las aplicaciones en desarrollo• Aplicaciones operativas, en proceso o no• La información perdida• La respuesta del personal y conocimiento inapropiado.• Cuantificación de perdidas por destrucción de información o

interrupción de procesos• Efectividad de los procedimientos de recuperación y respaldo, basados

en información real y equipo de respaldo• Analizar debilidades detectadas y corregir el plan contra desastres



Medidas y respaldo de la información

El respaldo de información consiste en realizar un duplicado de ésta, llamadotambién copia de seguridad o backup. Estas copias pueden realizarse deforma manual, o automáticamente.

CUIDADO

¿Cuál es la importancia o ventaja de realizar respaldos?

¿Qué sucedería si por ejemplo, un día prendemos nuestra computadora y nos damos cuenta que ya no enciende correctamente?


Tipos Definición

Copias de información (Backups)

Representan duplicados de archivos que se guardan en tape drivers de alta capacidad.

Respaldo completo (full) Guarda archivos que sean especificados al tiempo de ejecutarse el respaldo

Respaldo incremental Cuando se lleva a cabo un respaldo de incremento solo aquellos archivos que tengan el archivo bit serán respaldados

Respaldo Diferencial Este respaldo es muy similar al anterior, la diferencia radica en que el archivo bit permanece intacto.

Clasificación de respaldo de la información


Por qué respaldar información?

La información almacenada en el computador puede ser borrada accidentalmente o por diversos motivos.

La información perdidas es MUY difícil y hasta imposible de recuperar a menos que hayas hecho un respaldo.

La protección de los datos es una cuestión importante pues cada día se diseñan nuevos métodos para el respaldo para evitar la perdida de información.


Buenas practicas para el respaldo de la información

Las particiones del disco duro únicamente son útiles para tener respaldos temporales y a corto

Las máquinas no son un medio seguro de respaldo

Las particiones del disco duro únicamente son útiles para tener respaldos temporales y a corto plazo.

Elige el medio de almacenamiento

Establece tus tiempos de respaldo

Selecciona y divide tu información

Control de los medios de almacenamiento

Utiliza el mayor espacio posible del medio

Respaldar fotografías, imágenes, música o videos


Buenas practicas para el respaldo de la información

Verifica tus respaldos cada determinado tiempo

Maneja adecuadamente los medios de almacenamiento

Un solo respaldo no es suficiente

Un respaldo total o parcial

Comprime tu información

Alternativas virtuales de almacenamiento

Protege tu información si se encuentra respaldada en la nube


Políticas de la reposición de equipos de cómputo

Por tiempo de vida

Debido al deterioro natural de los

componentes que sufren los equipos

informáticos es inevitable

Por falla de hardware

Se debe verificar inicialmente si cuenta

con garantía para proceder al envío o

llamado al proveedor

Por perdida

Se debe levantar el informe

correspondiente.


Es un plan de procedimientos alternativos a la forma tradicional de operar de la empresa, a pesar de una situación incontrolable en el entorno

Garantiza la continuidad del negocio, se enfoca en sostener las funciones del negocio de una entidad durante y después de una interrupción a los procesos críticos del negocio.

Debe considerar todas las áreas de la empresa de manera integral incluso desde la estrategia, incorporando el DRP en conjunto con los elementos mínimos requeridos para continuar con la operación del negocio.

Plan de Continuidad del Negocio o BCP


Un BCP contempla la continuidad de los procesos y servicios críticos del negocio y se integra bajo las dimensiones de organización (recursos humanos, materiales y líneas de mando), operaciones (políticas y procedimientos), Tecnologías de Información e instalaciones, analizados bajo el marco de referencia de la continuidad.

Se caracteriza por tener:

Claridad

Ser de fácil entendimiento

Concreto

El BCP es para TODA la organización



BCP contiene:

Plan de comunicación de crisis: documento que contiene los procedimientosinternos y externos que las organizaciones deben preparar ante un desastre.

Planes de evacuación por edificio: contiene los procedimientos que deben seguirlos ocupantes de una instalación o facilidad en el evento en que una situación seconvierta en una amenaza potencial a la salud y seguridad del personal, elambiente o la propiedad.

Plan de continuidad de operaciones (COOP): Orientado a restaurar las funcionesesenciales de una sede o filial de la entidad en una sede alterna y realizar aquellasfunciones por un período máximo de 30 días antes de retornar a las operacionesnormales.



BCP contiene:

Plan de respuesta a ciber-incidentes: Establece procedimientos para responder a los ataques en el ciberespacio contra un sistema de Tecnología Informática (TI) de una entidad.

Planes de contingencia de TI: orientado a ofrecer un método alterno para sistemas de soporte general y para aplicaciones importantes.

Plan de recuperación de desastres (DRP): Orientado a responder a eventos importantes, usualmente catastróficos que niegan el acceso a la facilidad normal por un período extendido.



BCP contiene:

Plan de recuperación de desastres (DRP): se refiere a un plan enfocado en TI diseñado para restaurar la operabilidad del sistema, aplicación o facilidad de cómputo objetivo en un sitio alterno después de una emergencia. El alcance de puede solaparse con el de un Plan de Contingencia de TI; sin embargo, es más amplio en alcance y no cubre interrupciones menores que no requieren reubicación.



El Plan de Continuidad del Negocio incluye los siguientes productos:

1. Impacto de Análisis del Negocio.

2. Evaluación o Valoración de Riesgos.

3. Estrategias de Continuidad.

4. Roles, responsabilidades y procedimientos.

5. Procesos y Procedimientos de Continuidad.

6. Plan de Pruebas del Plan de Continuidad.


Qué hacer si la Organización no tiene un BCP?

Crear un Comité de Crisis.

Crear un vínculo de comunicación permanente con la organización.

Desde el punto de vista de operaciones se debe identificar losprocesos/actividades del negocio vitales en la operación y su interrelación conlos procesos totales del negocio.

Desde el punto de vista de requerimientos se requiere seleccionar y definirequipos de trabajo con personal comprometido y experiencia funcional.


Un BCP esta compuesto una serie de fases

Fase de alerta: pretende entregar una alarma a cualquier tipo de evento que puedacomprometer el proceso normal de nuestras actividades del negocio.

Fase de Activación: representa la acción necesaria de autorización para comenzar aponer en marcha el BCP, claramente esta acción debe ser realizada por unresponsable del Servicio en conjunto con el Oficial de Seguridad de la Organización.

Fase de Ejecución: comprende la realización de las tareas que fueron especificadasen los anexos del Plan, considerando todos los puntos ahí existentes y de maneraconsecutiva.

Fase de recuperación: es la que se realiza una vez que resuelve el incidente queprodujo la activación del BCP; es muy importante y determinante la rigurosidad,coordinación y el análisis del impacto que se debe realizar antes de llevar a caboesta actividad.


El Plan DRP establece las acciones que deberán ejecutarse para recuperar la operacionesfundamentales de una organización tras un desastre. Este plan incluye también las medidaspara evitar determinados riesgos, mitigarlos o transferirlos a terceras partes. En resumen, secentra en la recuperación de las operaciones relacionadas con el procesado de datos.

El plan de recuperación de negocio (BRP) incluye el plan de recuperación ante desastresademás de las acciones necesarias relacionadas con proveedores y clientes.

El plan de continuidad de negocio (BCP) es el más global y se compone a su vez de planes quedescriben como la organización puede operar durante o inmediatamente después de unaemergencia. El BCP debe describir como gestionar cualquier incidencia que afecte a laorganización y que interrumpa o detenga su operativa normal, no solo grandes desastres.


Diferencia entre el DRP, el BCP, el BRP

Un aspecto a tener en cuenta es que un plan de continuidad de negocio no es un lugardonde se describe detalladamente como solventar cada problema que se presentedurante un incidente.

Por ejemplo, que se pare el aire acondicionado en el centro de proceso de datos (CPD)que hacer?

Es un contratiempo importante, sin embargo, no podemos esperar que el plan decontinuidad de negocio explique como reparar el aire acondicionado. Sin embargo, sídeberá describir qué hacer, si hay que apagar los equipos o no y en qué orden y lasindicaciones necesarias para llamar a los técnicos que deben reparar el aireacondicionado.


Diferencia entre el DRP, el BCP, el BRP

¿A cuántas personas conocemos que nos han dicho que le “hackearon” su cuenta de correo?

¿O que alguien hizo “operaciones fraudulentas” con su cuenta de usuario en una empresa?

¿O que sencillamente alguien “se metió” en su Banco Virtual y le “limpió” la cuenta?

¿A cuántas personas no le han “clonado” su tarjeta de crédito o de débito?

¿A cuántas personas le han aplicado el “paquete chileno”?


Ingeniería Social

Son técnicas basadas en engaños que se emplean para dirigir la conducta de una persona u obtener información sensible.

Es una disciplina que consiste, ni más ni menos en sacar información a otra persona sin que ésta sé de cuenta de que está revelando "información sensible”

EN RESUMEN…

Implica el valerse de cualquier medio para obtener información acerca de una o varias personas, con el fin de alcanzar un beneficio o de causar algún daño. No se

asocia sólo a las acciones ejecutas en línea (o en la red), y se aprovecha de la credulidad de las personas.


Ingeniería Social

Suplantación de identidad o Phishing

Spear Phishing

Simple embaucamiento

Envío de archivos adjuntos en el correo electrónico

Recolección de hábitos de las víctimas potenciales

Revisión de desperdicios o basura

Vishing


Ingeniería Social

Constituye un dispositivo que sirve como protección entre redes, permitiendo onegando las transmisiones de una red a otra.

Un uso típico es situarlo entre una red local y la Internet, como dispositivo deseguridad para evitar que personas ajenas puedan tener acceso a informaciónconfidencial.

Constituye un filtro que controla todas las comunicaciones que pasan de una red aotra y en función de lo que sean permite o niega su paso.

Puede ser un dispositivo software o hardware


Firewall o Cortafuego

Nivel de aplicación de pasarela. Aplica mecanismos de seguridad para aplicacionesespecíficas, tales como servidores FTP y Telnet. Esto es muy eficaz, pero puedeimponer una degradación del rendimiento.

Circuito a nivel de pasarela Aplica mecanismos de seguridad cuando una conexiónTCP o UDP es establecida. Permite el establecimiento de una sesión que se originedesde una zona de mayor seguridad hacia una zona de menor seguridad.

Cortafuegos de capa de red o de filtrado de paquetes. Funciona a nivel de red(capa 3 del modelo OSI, capa 2 del stack de protocolos TCP/IP) como filtro depaquetes IP.


Firewall o Cortafuego. Tipos.

Cortafuegos de capa de aplicación Trabaja en el nivel de aplicación (capa 7 delmodelo OSI), de manera que los filtrados se pueden adaptar a característicaspropias de los protocolos de este nivel. Por ejemplo, proxy permite que loscomputadores de una organización entren a Internet de una forma controlada. Unproxy oculta de manera eficaz las verdaderas direcciones de red.

Cortafuegos personal Es un caso particular de cortafuegos que se instala comosoftware en un computador, filtrando las comunicaciones entre dicho computadory el resto de la red.


Firewall o Cortafuego. Tipos.

Documents

Seguridad en Centros de Cómputo