Seguridad informatica - Controles de acceso

República Bolivariana de Venezuela

Ministerio del Poder Popular para la Educación Superior

Universidad Politécnica Territorial del Estado Portuguesa "Juan de Jesús Montilla"  

Acarigua, Estado Portuguesa

[pic 2]

Autores:

Betania Fernández C.I:22.102.606

Elías Flores C.I: 25.026.214

Luis Camacaro C.I: 24.683.739

Fray Ávila C.I: 23.577.662

Ana Perozo  C.I: 21.560.011

Leydimarines Sepúlveda C.I: 22.100.883

 Profesora: 

Yannery Álvarez

Sección: 

731 Ing. Informática

Acarigua Mayo del 2017

Introducción

Cuando se habla de seguridad en el ámbito de las TIC a menudo se confunden los conceptos de seguridad de la información y seguridad informática. Y siendo ambos realmente importantes y similares, hay diferencias entre ellos.

En esto mencionaremos los conceptos de seguridad física y seguridad  lógica y explicaremos los pilares sobre los que se basa la seguridad. La expresión de seguridad in, que es la más utilizada, puede llegar a relacionarse solo con los equipos y entornos  técnicos, como  si la información en otros soportes y ambiente no requiera protección, cuando  son  las propias operaciones de la entidad, el negocio de las entidades con  ánimo de lucro, lo que requiere protección.

Si no  existen  medidas  y  adecuada  protección  se puede perder información vital, o por lo menos no estar disponibles en el momento requerido, las decisiones se tomadas pueden ser erróneas, o se pueden incumplir contratos a la propia legislación, lo que puede traducirse en grandes multas o infracciones graves. Las distintas alternativas estudiadas son suficientes para conocer en todo momento el estado del medio en el que nos desempeñamos; y así tomar decisiones sobre la base de la información brindada por los medios de control adecuados.

En la seguridad de los servidores y estaciones debemos tomar en cuenta desde las condiciones físicas donde se encontrará el mismo, hasta todo aquello que hay que realizar de manera interna tal cómo: tener contraseñas complejas, antivirus, cortafuegos, control de acceso a la red, copias de seguridad, entre otros.

Seguridad física

Es el conjunto de medidas adoptadas y aplicadas para la protección, prevención y/o detención de las amenazas físicas que atentan contra el equipamiento físico de un sistema informático, como el uso de barreras físicas, sistema de seguridad, protocolos entre otros.

Características:

1. Enfocada a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza.

• Desastre naturales y variación de las condiciones ambientales.
• Robos, sabotajes.
• Disturbios internos y externos deliberados.

1. Defensa  tanto por dentro como por fuera del medio físico donde se encuentra el sistema.

• Barreras
• Monitoreo y alarma
• Sistema de cerradura y llave
• Seguridad de cierre
• Guardias
• Control de acceso.
• Detectores de intrusos.

1. Enfocado en la estructura del sistema informático y el espacio en que se desenvuelve, para permitir el dimensionamiento o la restructuración de la infraestructura computacional, y la adaptación de nuevos mecanismo de seguridad, como la protección contra incendios o la regulación de la temperatura.

• Administración de cables
• Suministro de energía
• Espacio, estructura y diagrama de distribución
• Refrigeración
• Administración de cables

Objetivos

• Identificar las amenazas naturales, humanas y de ubicación a las que están expuestos los recursos de información
• Aplicar las barreras físicas y procedimientos de control,  ante las amenazas internas e externas a los recursos y la información confidencial del sistema ante las agresiones que pudieran sobrevenir, adoptando las medidas preventivas y reactivas oportunas.

La seguridad lógica

 Se refiere a la seguridad en el uso de software y los sistemas, la protección de los datos, procesos y programas, así como la del acceso ordenado y autorizado de los usuarios a la información.

Características:

• Control de los flujos de entrada/salida de la información. Esto incluye que una determinada información llegue solamente al destino que se espera que llegue, y que la información llegue tal cual se envió.

• Asegurarse que los archivos y programas que se emplean son los correctos y se usan correctamente. Por ejemplo, el mal uso de una aplicación puede ocasionar agujeros en la seguridad de un sistema informático.

• Asignar las limitaciones correspondientes a cada usuario del sistema informático. Esto significa, no darle más privilegios extra a un usuario, sino sólo los que necesita para realizar su trabajo.
• Restringir al acceso a programas y archivos mediante claves y/o encriptación.

• La seguridad lógica de un sistema informático incluye:
  Los controles anteriormente mencionados se pueden hacer a nivel sistema operativo, a nivel aplicación, a nivel base de datos o archivo, o a nivel firmware.

Objetivos

• Restringir el acceso al arranque (desde la BIOS) al S.O, Restringir el acceso a los programas y archivos
• Asegurar que se estén utilizando los datos, archivos y programas correctos en y por el procedimiento correcto.
• Asegurar que los usuarios puedan trabajar sin una supervisión minuciosa y no puedan modificar los programas ni los archivos que no correspondan.

Administración de los roles y responsabilidades de los usuarios

Para la  creación de una buena seguridad lógica de un sistema se debe de hacer uso de  técnicas que mantenga la confidencialidad e integridad del mismo las cuales se conocen como técnica o controles de acceso que se refiere al uso de la identificación y autenticación de un usuario, esto se logra a través de contraseñas, roles entre otros, así como los limites o acciones que ejercerán sobre los datos del sistema. Una buena administración se encarga de la implementación, seguimientos, pruebas y modificaciones sobre los accesos de los usuarios, dependiendo de la política de seguridad lógica que se desarrolle respecto a la el establecimiento de perfiles de usuario. Esto viene acompañado de la clasificación de información, donde se establecen los niveles y medidas preventivas y correctivas al acceso de información no autorizada así como el tipo de puesto que tendrá el usuario y las funciones que delegara en cuanto al manejo de los dos datos.

Cabe resaltar que la asignación de una persona a un rol requiere considerar los requerimientos de experiencia y conocimientos técnicos necesarios para cada puesto, como para los puestos definidos como críticos puede requerirse una verificación de antecedentes personales. Tiene que existir una conciencia de la seguridad organizacional por parte de todos los empleados, esta consciencia puede alcanzarse mediante el ejemplo del personal directivo en el cumplimiento de las políticas y estableciendo compromisos firmados por el personal donde se especifique la responsabilidad de cada uno. Además debe existir una concienciación por parte de la administración hacia el personal en donde se remarque la importancia de la información y las consecuencias posibles de su pérdida o apropiación por agentes extraños a la organización

Administración de contraseñas

Una eficaz elaboración de contraseña debe contener una serie de requisitos, que le da seguridad si tiene una serie de criterio  como por ejemplo que no sea corta es decir, contener un mínimo de 8 caracteres lo ideal es que contengan 14 o más, muchos sistemas también admiten el uso de la barra espaciadora de modo que se pueden crear contraseñas de varias palabras (una frase codificada) por lo general una frase codificada resulta más fácil de recordar y más difícil de adivinar que una contraseña simple. Otra forma es combinado letras, números y símbolos, cuantos más diversos sean los tipos de caracteres más difícil será adivinarla,

Es importante resaltar que se  debe tener en cuenta cuanto menos tipos de caracteres tenga un sistema, por ejemplo  si es un caso de criterio para la seguridad por medio de contraseña no se puede ingresar caracteres especiales tendrá que compensarse usando una conformación de caracteres más larga.

Control de privilegios especiales

Para realizar un buen control sobre los usuarios que tienen acceso a recursos e información se debe mantener una política de privilegio mínimo se debe utilizar en la asignación de permisos, es decir, dar a los usuarios sólo los permisos que necesitan para realizar su trabajo y nada más. Por ejemplo, un empleado temporal no debería tener el derecho de instalar software, una recepcionista no necesita el derecho de hacer copias de seguridad, y así sucesivamente. Cada sistema operativo incluye la posibilidad de limitar a los usuarios sobre la base de los grupos y los permisos individuales, y su empresa debe cumplir con la política de siempre aplicando sólo los usuarios tienen permisos y el bloqueo de todos los demás. Algunos usuarios tienen el privilegio de ejecutar programas, a otros agregar datos, modificar o borrar información.

...