Plan de seguridad informatica

[pic 1]

[pic 2]

[pic 3]

La universidad privada Superior del Bajío es una de las de más alto prestigio a nivel estatal por sus excelentes planes de estudio. El nuevo jefe de personal se ha dado a la tarea de analizar los procesos llevados a cabo en el departamento, pues últimamente han existido problemas y detalles que han puesto en riesgo la seguridad de la información que manejan, como la falta de congruencia e integridad en las bases de datos, pérdida de expedientes, repetición de información, infecciones por virus, etc.

Una de las estrategias que van a implementarse para verificar la eficiencia y eficacia de los procesos será la auditoría, para lo cual, se pretende analizar la situación del departamento e identificar sus vulnerabilidades en la seguridad informática. A continuación, se da a conocer la información recolectada sobre los procesos y actividades que se llevan a cabo dentro del departamento:

• El departamento cuenta con un sistema de información que tiene varios módulos que apoyan a cada una de las áreas: nómina, contratos, entrevistas, etc.
• Todo el personal del departamento tiene acceso a todos los módulos, es decir, el área de contratos puede manejar, si lo desea, el módulo de nóminas.
• El acceso al sistema se realiza mediante una única cuenta y contraseña que todo el personal conoce.
• Se realizan respaldos de información cada semestre, aun cuando cada mes cambia el personal de la universidad.
• Cada uno de los equipos de cómputo cuenta con un antivirus que es actualizado de forma irregular.
• Cada computadora tiene cuenta de usuario, la cual es igual al nombre del usuario, pero con mayúsculas.
• Las contraseñas para acceder a la computadora están generadas con ciertas características, por ejemplo: si es del doctor la contraseña comienza con DR y si es de la secretaria comienza con SC y luego le sigue un número que corresponde a un consecutivo que se generó con todas las personas del quinto piso, como resultado se tienen contraseñas como DR01, DR02, SC01, etc.
• Las credenciales de acceso son conocidas por todos.
• Todas las computadoras tienen acceso a internet sin ningún tipo de restricción, por lo que el personal puede utilizar el correo para fines personales, descargar archivos, música, películas, etc.
• Varios equipos de cómputo se han dañado muchas veces por goteras en el edificio, interrupciones súbitas de energía o calentamiento de los mismos.

Introducción

El formular un plan de Seguridad Informática constituye un documento fundamental para el control y la seguridad en el aprovechamiento de las tecnologías informáticas de la universidad. Las medidas que se establecen en el presente Plan de Seguridad Informática son de obligatorio cumplimiento para todo el personal que haga uso de los equipos de cómputo y los otros dispositivos.

Tal y cómo les ha sucedido, los riesgos de padecer un ciberataque están al orden del día. Puede ocurrir en cualquier momento, aunque parece, a primera vista, muy segura. Por lo tanto, contar con un plan de seguridad informática no es algo de lo que deberías dudar de tener.

En esta evidencia se propondrá un plan de Seguridad Informática y que sirva para recuperación ante desastres informáticos ya sean ataques cibernéticos, infección por virus informático, robo de información confidencial y hasta de equipos o dispositivos móviles. Se integrarán y se pondrán en marcha soluciones de seguridad informática enfocadas a la protección de la información confidencial, la prevención contra pérdida de datos y para su recuperación, asegurando además que se ajuste a la legislación vigente y a la Ley de Protección de Datos.

Desarrollo

    2 medidas preventivas para vulnerabilidades de la seguridad física.

- Para la prevención a la vulnerabilidad del edificio que está en malas condiciones se recomiendan las siguientes acciones:

• Dar mantenimiento constante a la loza y con una buena capacidad de drenaje será ideal para no dar pie a su aparición ya que si hay goteras quiere decir que puede estar fisurada y requerirá de arreglo para que se puede impermeabilizar y garantizar que no habrá en el futuro filtraciones y los equipos de cómputo no se dañen ya que esto acarrea gastos innecesarios, no se especifica, pero pudiera ser una gotera por fuga de agua, pero si así fuera, recomendaría arreglarla cambiando tuberías en mal estado o bien llaves que no sirvan correctamente, instalaciones de desagües evitando acumulación de agua ya que a nivel estructural puede dañar las varillas y debilitar la construcción la filtración constante de agua por fuga.

 - Para la prevención a la vulnerabilidad de equipos de cómputo dañados por variación de voltaje, se recomiendan las siguientes acciones:

• Lo que se debe de realizar primero es ver que toda la instalación eléctrica está bien distribuida porque hay variaciones, se deben hacer circuitos por oficina y para eso hay que calcular la carga para poder tener conexiones seguras, además de interruptores termoeléctricos para evitar daños en los dispositivos conectados y agregarle reguladores no-break para dar tiempo a respaldar información en caso de corte de energía eléctrica y así garantizar el funcionamiento de la universidad sin interrupciones.
• Apagarlos completamente antes de conectarlos o desconectarlos de la red eléctrica.
• Deberán quedar apagados al concluir la jornada laboral, salvo que por necesidad continua del sistema o de comunicaciones tengan que seguir funcionando.
• En caso de ocurrencia de tormentas eléctricas severas se apagarán y desconectarán todas las computadoras, salvo aquellas que por necesidad imperiosa haya que dejar funcionando, en cuyo caso se crearán las condiciones necesarias para su protección.
• Mantener la limpieza de las microcomputadoras y sus accesorios; no limpiar con paños húmedos.

    2 medidas preventivas para vulnerabilidades en la navegación por internet.

- Para la prevención de la vulnerabilidad de los equipos de cómputo que usa el personal con acceso a internet y a estos sin restricciones, se recomiendan las siguientes acciones:

• Sólo se accederá a los servicios de Internet desde las computadoras autorizadas para ese fin. Aun cuando sea posible la conexión a un sitio de correo libre como Yahoo o Hotmail, los usuarios autorizados al uso de INTERNET se abstendrán de hacerlo, así como la difusión a través de las redes públicas de servicios de conversación en tiempo real (chat) por parte del personal de la universidad. Solo será autorizado en algunos casos por la dirección de la institución en correspondencia a sus intereses y de las normas particulares establecidas para estos servicios y serán objetos de comprobación.
• Sólo podrá operar el servicio de correo electrónico el personal autorizado y los empleados que no posean cuentas de correo y necesiten enviar y/o recibir mensajería electrónica deberán contar con la autorización previa.
• En caso de recibir archivos anexos a los mensajes se tendrá en cuenta la revisión por medio del antivirus y el proceso de cuarentena de ser necesario.

    2 medidas preventivas para vulnerabilidades con las copias de seguridad y actualización de software.

Para la prevención de la vulnerabilidad en las copias de seguridad y actualización de antivirus en los equipos de cómputo que usa el personal con acceso a internet, se recomiendan las siguientes acciones:

• Tener al antivirus de cada equipo de cómputo actualizado para evitar cualquier tipo de contagio de virus informático o cualquier otra amenaza.

• Los empleados de la universidad que hagan uso de las tecnologías informáticas, son responsables de la protección de la información que utilicen o creen en el transcurso del desarrollo de sus labores, lo cual incluye: protección de acceso a los locales y a sus computadoras, así como cumplir con lo establecido respecto al tratamiento de la información oficial que se procese, intercambie, reproduzca o conserve a través de las tecnologías de información, según su categoría y demás regulaciones.
• Los empleados tendrán acceso sólo a los recursos que necesitan en el cumplimiento de su labor diaria, implementándose mediante la definición del equipamiento, aplicaciones a utilizar mediante los privilegios y derechos de acceso a los activos de información que se le otorgue.

    3 medidas preventivas y 3 correctivas para vulnerabilidades y fallas en relación con acceso a datos, contraseñas, permisos y privilegios.

• Habilitar y llevar los registros que se indican en el sistema de medidas y aplicar los procedimientos que se incluyen como parte de este Plan de Seguridad Informática.
• No transgredir ninguna de las medidas de seguridad establecidas para poder tener la seguridad de resguardo de información confidencial.
• Cumplir las reglas establecidas para el empleo de las contraseñas asignadas.
• No introducir ni utilizar en las tecnologías ningún producto, ni modificar la configuración de las mismas, sin la correspondiente autorización del responsable de la seguridad informática.
• Se mantendrá actualizada la libreta de control de usuario. En el uso de las computadoras de acuerdo a lo que se establece en el Reglamento de Seguridad para las Tecnologías de la Información.
• Los jefes de áreas y usuarios que hagan uso de las tecnologías informáticas las protegerán contra posibles hurtos, así como del robo de la información que contengan.
• El control de acceso y cierre de las oficinas está establecido que todas las áreas con tecnologías de información al terminar la jornada laboral queden cerradas y debidamente selladas, aquellas donde se maneje información clasificada los trabajadores de estas áreas deberán extremar las medidas de seguridad.

En cuestión de contraseñas:

• Tendrán un período de vigencia con tiempo mínimo de 1 día y máximo de 90 días de duración, no obstante, se permitirá cambiarlas fuera de estos términos de tiempo máximos y mínimos cuando las condiciones así lo exijan y lo cual será avalado por el Responsable de Seguridad Informática.

• Estas poseerán de permitirlo el equipo y/o sistema operativo, de 6 a 8 caracteres alfanuméricos como mínimo, no obvios, con al menos 1 de ellos de caracteres especiales y no se permitirá la duplicidad de las mismas.
• La contraseña cambiada con la periodicidad adecuada no se podrá repetir antes de que haya transcurrido un año como mínimo, desde que hubiera dejado de utilizarse.
• No utilizar contraseñas que sean palabras del diccionario (aunque sean extranjeras), o nombres (el del usuario, personajes de ficción, miembros de la familia, mascotas, marcas, ciudades, lugares, u otro relacionado).
• No usar contraseñas completamente numéricas con algún significado (teléfono, C.I., fecha de nacimiento, Chapa del automóvil, etc.).
• No se compartirán entre usuarios que no sean del área.
• No contendrán patrones repetitivos como, por ejemplo: zzzz, tttt popoptititi.
• No contendrán secuencias de caracteres cercanos en el teclado, Ej. qwerty.
• Deben ser fáciles de recordar para no verse obligado a escribirlas.
• Nunca compartir con nadie la contraseña. Si se hace, cambiarla inmediatamente.
• No escribir la contraseña en ningún sitio. Si se escribe, no debe identificarse como tal y no debe identificarse al propietario en el mismo lugar de contraseñas.

Se prohibirá tener información personal en las computadoras como:

...