Infrastructura

Tema 13. Administración de la información 1ª parte

La pérdida de perímetros organizacionales a través del uso de tecnologías de acceso remoto y la exposición a riesgos de seguridad de alto impacto, tales como software malicioso en forma de virus, ataques de negación de servicio (DoS),entre otros han ocasionado que el nivel de riesgo de la seguridad de información allá aumentado.

Al surgir dichos percances en el año de 1999 en mayo La organización internacional para la estandarización / Normalización publico la norma ISO 17799 con el fin de una mejor administración en la seguridad de información, 6 años después en octubre esta norma evoluciono a ISO 27001 este cambio desarrollo 134 objetivos de control bajo 11 áreas, según la publicación de Information Technology Security Techniques.

La legislación relativa a la tecnología de la información se volvió a través de los años más prolífica, con muchos países promulgando leyes sobre aspectos tales como derechos de autor (copyright), privacidad de software, propiedad intelectual y datos personales. Estas presiones comerciales, competitivas y legislativas, requieren la implementación de políticas de seguridad, procedimientos y controles de acceso lógico a sistemas relacionados, monitoreo, y revisión. Por este motivo se dieron a conocer nuevos objetivos de seguridad de información para satisfacer las nuevas demandas del mercado, que en el siguiente mapa se presentaran:

Ya que se conoces los puntos de los objetivos para satisfacer los requerimientos de este negocio y se necesitas elementos claves para que la administración sea adecuada y con un mejor control, a continuación los enlistaremos:

1. Compromiso y soporte de la alta gerencia

2. Políticas y procedimientos

3. Organización

4. Conciencia de la seguridad y la educación

5. Monitoreo y cumplimiento

6. Tratamiento y respuesta a incidentes

Pasemos a los inventarios de activos de información y que sería esto exactamente, para tener un control efectivo se necesita un inventario detallado, esta lista sería el primer paso para clasificar los activos y determinar el nivel de protección que provee a cada uno de ellos.

Para clasificar los activos debemos tener conocimiento que tienen diversos grados de sensibilidad y de criticidad en cuanto a la satisfacción de los objetivos del negocio. Este acceso se puede obtener administrando y gestionando a nivel físico y lógico. Control de acceso es un término muy amplio que cubre diferentes tipos de mecanismos que hace cumplir los requerimientos de control de accesos en sistemas, redes e información. Es extremadamente importante porque es una de las primeras líneas de defensa contra el acceso no autorizado.

Expliquemos brevemente que seria los accesos lógicos

Las exposiciones a riesgos que existen desde del control de acceso lógico incluyen la exposición técnica y el crimen informático.

Los procesos de control de accesos permiten manejar cómo los usuarios y los sistemas se comunican e interactúan con otros sistemas y recursos. Los controles que hacen cumplir el control de acceso pueden ser técnicos, físicos o administrativos.

Los activos de TI bajo la seguridad lógica pueden agruparse en cuatro capas: las redes, las plataformas de sistemas operativos, las bases de datos y las aplicaciones. Esto permite el concepto de seguridad en capas para acceso al sistema que proporciona un mayor alcance y granularidad de control de los recursos de información.

Conclusión:

Es de gran importancia entender cómo los controles de acceso lógico y físico a la información afectan la seguridad de información de los activos de información de las organizaciones como veremos en el siguiente tema.

Como mencionamos con anterioridad, una de las piedras angulares de la seguridad de la información es controlar cómo los recursos son obtenidos de tal manera de que puedan ser protegidos contra accesos o modificaciones no autorizados. Los procesos de control de accesos permiten manejar cómo los usuarios y los sistemas se comunican e interactúan con otros sistemas y recursos

Tema 14. Administración de la información 2ª parte

En este tema cuando hablamos de seguridad física nos referimos a todos aquellos mecanismos, generalmente de prevención y detección, destinados a proteger físicamente cualquier recurso del sistema. Estos recursos son desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema, pasando por la propia CPU de la máquina, así que demos inicio a el desarrollo de este tema..

Al atacar un sistema y se tiene acceso físico al mismo, todo el resto de medidas de seguridad implantadas se convierten en inútiles, muchos ataques son entonces triviales, como por ejemplo los de denegación de servicio; si apagamos una máquina que proporciona un servicio es evidente que nadie podrá utilizarlo.

Para poder evitar todo tipo de problemas deberemos implantar mecanismos de prevención (control de acceso a los recursos) y de detección (si un mecanismo de prevención falla o no existe, debemos al menos detectar los accesos no autorizados cuanto antes).

Para la prevención hay soluciones para el gusto que fuese y precios accesibles, continuación observamos algunas de las opciones:

• Analizadores de retina.

• Tarjetas inteligentes.

• Videocámaras.

• Vigilantes jurados.

En caso de los desastres naturales que se pudiesen contemplar como los siguientes :

• Terremotos y vibraciones.

• Tormentas eléctricas.

• Inundaciones y humedad.

• Incendios y humos.

Es necesario tomar en cuenta

...