DEFINICION DEL PLAN DE SEGURIDAD INFORMATICA

 

DESCRIPCION DE LOS ELEMENTOS DE PROTECCION:

MODELO ISM3:Es un estándar para la creación de sistemas de gestión de la seguridad de la información. ISM3 puede usarse por si solo o para mejorar sistemas basados en ITIL, ISO27001 o Cobit.
ISM3 pretende alcanzar un nivel de seguridad definido, también conocido como riesgo aceptable, en lugar de buscar la invulnerabilidad. ISM3 ve como objetivo de la seguridad de la información el garantizar la consecución de objetivos de negocio. La visión tradicional de que la seguridad de la información trata de la prevención de ataques es incompleta. ISM3 relaciona directamente los objetivos de negocio (como entregar productos a tiempo) de una organización con los objetivos de seguridad.

ESTANDAR ISO 20000:

La serie ISO/IEC 20000 - Service Management normalizada y publicada por las organizaciones ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission) el 14 de diciembre de 2005, es el estándar reconocido internacionalmente en gestión de servicios de TI (Tecnologías de la Información). La serie 20000 proviene de la adopción de la serie BS 15000 desarrollada por la entidad de normalización británica, la British Standards Institution(BSI).

El estándar se compone de 5 partes, de las cuales cuatro están ya publicadas y una en proceso de publicación:

• Parte 1: ISO/IEC 20000-1:2011 - Requisitos de los sistemas de gestión de servicios
• Parte 2: ISO/IEC 20000-2:2012 - Guía de implementación de los sistemas de gestión de servicios
• Parte 3: ISO/IEC TR 20000-3:2009 - Guía en la definición del alcance y la aplicabilidad (informe técnico)
• Parte 4: ISO/IEC DTR 20000-4:2010 - Modelo de referencia de procesos (informe técnico)
• Parte 5: ISO/IEC TR 20000-5:2010 - Ejemplo de implementación (informe técnico)

La aparición de la serie ISO/IEC 20000, ha supuesto el primer sistema de gestión en servicio de TI certificable bajo norma reconocida a nivel mundial. Hasta ahora, las organizaciones podían optar por aplicar el conjunto de mejoras prácticas dictadas por ITIL (completadas por otros estándares como CMMI o COBIT) o certificar su gestión contra el estándar local británico BS 15000. La parte 1 de la serie, ISO/IEC 20000-1:2005 representa el estándar certificable.

Nosotras creeemos que este estandar y modelo que escogimos son mejor confiables para la empresa ya que nos permite tener más segura la informacion de cualquier tipo de pérdida asi como el tener respaldos y el que no puedan acceder a ella sin alguna autorización.

DEFINICION DE LAS METAS DE SEGURIDAD A ALCANZAR EN UN PERIODO DE TIEMPO ESTABLECIDO

 

10 AÑOS:

Esperamos tener todos los apollos para formar nuestra empresa en ese tiempo es decir, es necesario tener seguridad tanto en los datos como en la formalizacion que esta va tener, lo protegeremos con todo tipo de prevenciones informaticas como lo son: contraseñas,mantenimiento,prevencion de equipos electronicos, diseñando y creando bitacoras que recopilen todo tipo de informacion para que sea muy confiable y este segura de cualquier intruso o desconocido.

 

 

 

DEFINICION DE POLITICAS:

 

-De acceso fisicos a equipos: Es indispensable saber que tipo de personas podran tener acceso ala informacion, por lo que unicamente personas autorizadas a algun puesto dentro del area un claro ejemplo sera que no todos los empleados tengan autorizacion de dar mantenimiento a los equipos ya que se corre el riesgo de perdidas de memorias RAM o cualquier tipo de componente de estas.

-De acceso logico a equipos:Al llegar al area de trabajo que le corresponde a cada persona lo primero que hacen es arrancar y encender el equipo y ver que todo este bien es muy importante checar que no haya ningun tipo de falla y si los hay , entonces se informa rapidamente.

Cada empleado tiene un acceso a una cuenta y esta misma a su vez proporciona datos de informacion para acceder a los documentos,ficheros y aplicaciones alas que tenemos permiso, etc.

 

-Para la creacion de cuentas de usuario: Daremos a conocer las politicas aplicadas en cada usuario y su respectiva contraseña, esto con el fin de que personas desconocidas o empleados compañeros no puedan tener acceso ala privacidad de cada usuario,unicamente si se presentan problemas mas desarrollados o complicados se tomaran otras medidas para sacar responsables e informacion inadecuada y saber el uso con el que se esta manejando.

 

-Para el manejo de bitacoras: El uso de las bitacoras se utilizaran para tener un mejor

manejo de informacion sobre los equipos, datos personalesy observaciones. Esto nos trae un mejor uso para la informacion confidencial.

-De proteccion de red (firewall): Esto lo empleamos para controlar el estado del software como son sus: actualizaciones, versiones, etc. Y evitar riesgos innecesarios como los virus o amenazas para el equipo

 

Firewall Local:
Este lo usamos para evitar que una aplicación o alguna otra cosa pueda crear una conexión a internet o a lapc, lo que hace es protegernos a que ningún usuario no autorizado ingrese a nuestro sistema.

-Administracion de software de seguridad:

Aqui vamos a poder tener Potentes aplicaciones de diseño, implementación, administración, monitoreo y seguridad de redes. Para facilittar su manejo y asegurar tener un nivel de servicio superior.

-Para la gestion de actualizaciones de control de cambio

En esta se realizan implementen adecuadamente todos los cambios necesarios en la infraestructura y servicios TI garantizando el seguimiento de procedimientos estándar.

se debe trabajar para asegurar que los cambios:

Están justificados.

Se llevan a cabo sin perjuicio de la calidad del servicio TI.

Están convenientemente registrados, clasificados y documentados.

Han sido cuidadosamente testeados en un entorno de prueba.

Se ven reflejados en la CMDB.

Pueden deshacerse mediante planes de "retirada del cambio" (back-outs) en caso de un incorrecto funcionamiento tras su implementación.

 

-De almacenamiento

Es el componente que lee o graba los datos en medios o soportes de almacenamiento y juntos conforman la memoria o almacenamiento secundario de la computadora.

Estos dispositivos realizan las operaciones de lectura o escritura de los soportes donde se almacenan o guardan, lógica y físicamente, los archivos de un sistema informático.

 

 

-Para archivos compartidos

Se puede administrar de dos formas. Si eliges el uso compartido sencillo de archivos, podrás compartir tus carpetas con cualquier persona de tu red o grupo de trabajo, o puedes privatizar tus carpetas. (Así es como se comparten las carpetas en Windows 2000). Sin embargo, en Windows XP Profesional, también puedes establecer permisos de carpeta para usuarios o grupos específicos. Para ello, en primer lugar, debes cambiar la configuración predeterminada que es uso compartido sencillo de archivos.
 

 

 

 

 

-De respaldo

Los respaldos o copias de seguridad tienen dos objetivos principales:

 

• Permitir la restauración de archivos individuales
  
• Permitir la restauración completa de sistemas de archivos completos

El primer propósito es la base para las peticiones típicas de restauraciones de archivos: un usuario accidentalmente borra un archivo y le pide restaurarlo desde el último respaldo. Las circunstancias exactas pueden variar, pero este es el uso diario más común de los respaldos.

La segunda situación es la peor pesadilla de un administrador de sistemas: por la situación que sea, el administrador se queda observando un hardware que solía ser una parte productiva del centro de datos. Ahora, no es más que un pedazo de acero y silicon inútil. Lo que está faltando en todo el software y los datos que usted y sus usuarios habian reunido por años. Supuestamente todo ha sido respaldado.

 

 

 
Karen Itzel Pasillas Garcia
Alma Patricia Vega Lopez
Miriam Guadalupe Araiza Peralta









 

ESTANDARES INTERNACIONALES DE SEGURIDAD INFORMATICA

 

¿Qué es la BS 17799?
La BS 17799 es una guía de buenas prácticas de seguridad informática que presenta una extensa serie de controles de seguridad. Es la única norma que no sólo cubre la problemática de la IT sino que hace una aproximación holística a la seguridad de la información abarcandotodas las funcionalidades de una organización en cuanto a que puedan ser afectadas por la seguridad informática.

 

¿Que es ISO 27000?

Es una familia de estándares internacionales para Sistemas de Gestión de la Seguridad de la Información (SGSI) que proporcionan un marco de gestión de la seguridad de la información.

Es la norma principal de la serie y contiene los requisitos del sistema de gestión de seguridad de la información.

-ISO 27001:
*Este estándar internacional ha sidopreparado para proporcionar un modelo para establecer, implementar, operar, monitorear, revisar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI).
*Este estándar promueve la adopción de un enfoque del proceso para establecer, implementar, operar, monitorear, revisar, mantener y mejorar el SGSI de una organización.

-ISO 27002:
*Es una guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información. Contiene 39 objetivos de control y 133 controles, agrupados en 11 dominios.
 
¿Que es ISO 20000?
La serie ISO/IEC 20000 - Service Management normalizada y publicada por las organizaciones ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission) el 14 de diciembre de 2005, es el estándar reconocido internacionalmente en gestión de servicios de TI (Tecnologías de la Información). La serie 20000 proviene de la adopción de la serie BS 15000 desarrollada por la entidad de normalización británica, la British Standards Institution(BSI).

El estándar se compone de 5 partes, de las cuales cuatro están ya publicadas y una en proceso de publicación:

• Parte 1: ISO/IEC 20000-1:2011 - Requisitos de los sistemas de gestión de servicios
• Parte 2: ISO/IEC 20000-2:2012 - Guía de implementación de los sistemas de gestión de servicios
• Parte 3: ISO/IEC TR 20000-3:2009 - Guía en la definición del alcance y la aplicabilidad (informe técnico)
• Parte 4: ISO/IEC DTR 20000-4:2010 - Modelo de referencia de procesos (informe técnico)
• Parte 5: ISO/IEC TR 20000-5:2010 - Ejemplo de implementación (informe técnico)

La aparición de la serie ISO/IEC 20000, ha supuesto el primer sistema de gestión en servicio de TI certificable bajo norma reconocida a nivel mundial. Hasta ahora, las organizaciones podían optar por aplicar el conjunto de mejoras prácticas dictadas por ITIL (completadas por otros estándares como CMMI o COBIT) o certificar su gestión contra el estándar local británico BS 15000. La parte 1 de la serie, ISO/IEC 20000-1:2005 representa el estándar certificable.

ANALIZA MODELOS Y BUENAS PRACTICASDE SEGURIDAD INFORMATICA

ITIL:Se ha convertido en el estándar mundial de de facto en la Gestión de Servicios Informáticos. Iniciado como una guía para el gobierno de UK, la estructura base ha demostrado ser útil para las organizaciones en todos los sectores a través de su adopción por innumerables compañías como base para consulta, educación y soporte de herramientas de software. Hoy, ITIL® es conocido y utilizado mundialmente. Pertenece a la OGC, pero es de libre utilización.

 

COBIT:(Objetivos de control para la información y tecnologías relacionadas) es una metodología publicada en 1996 por el Instituto de Control de TI y la ISACA (Asociación de Auditoría y Control de Sistemas de Información) que se usa para evaluar el departamento de informática de una compañía; en Francia está representada por la AFAI (Asociación Francesa de Auditoría y Consejo de TI).

Los objetivos son:

Entrega y asistencia técnica

Control

Planeamiento y organización

Aprendizaje e implementación

 

ISM3:Es un estándar para la creación de sistemas de gestión de la seguridad de la información. ISM3 puede usarse por si solo o para mejorar sistemas basados en ITIL, ISO27001 o Cobit.
ISM3 pretende alcanzar un nivel de seguridad definido, también conocido como riesgo aceptable, en lugar de buscar la invulnerabilidad. ISM3 ve como objetivo de la seguridad de la información el garantizar la consecución de objetivos de negocio. La visión tradicional de que la seguridad de la información trata de la prevención de ataques es incompleta. ISM3 relaciona directamente los objetivos de negocio (como entregar productos a tiempo) de una organización con los objetivos de seguridad.

 

 

 

 

 

 

 

 

 

 

 

 

 

Miriam Guadalupe Araiza Peralta

Alma Patricia Vega López

Karen Itzel Pasillas García

RIESGOS FISICOS EN LA ORGANIZACION APLICADAS A EQUIPOS DE COMPUTO Y COMUNICACIONES

 

Control de acceso a un sistema informático

que es? Todos los equipos conectados a un servidor pueden considerarse como un gran sistema multifacético.

Para que es? proporciona funciones de seguridad estándar que usted puede utilizar para proteger archivos, directorios y dispositivos.

Tipos:

-Contraseñas locales:Si la red utiliza archivos locales para autenticar usuarios, la información de contraseñas se conserva en los archivos /etc/passwd y /etc/shadow del sistema.

 

-Contraseñas NIS:Si la red utiliza NIS para autenticar a los usuarios, la información de contraseñas se conserva en el mapa de contraseñas NIS. NIS no admite la caducidad de las contraseñas.

 

-Contraseñas LDAP:El servicio de nombres LDAP de Oracle Solaris almacena información de contraseñas e información shadow en el contenedor ou=people del árbol de directorios LDAP.

 

-Cifrado de contraseña:El cifrado de contraseña seguro proporciona una barrera temprana contra un ataque. El software Oracle Solaris proporciona seis algoritmos de cifrado de contraseña.

 

-Cuentas especiales del sistema:La cuenta root es una de las diversas cuentas especiales del sistema. De estas cuentas, sólo a la cuenta root se le asigna una contraseña y se la puede utilizar para iniciar sesión.

 

-Inicios de sesión remotos:Los inicios de sesión remotos ofrecen una vía tentadora para los intrusos. Oracle Solaris proporciona varios comandos para supervisar, limitar y deshabilitar los inicios de sesión remotos.

 

-Palabras Claves (Passwords):se utilizan para realizar la autenticación del usuario y sirven para proteger los datos y aplicaciones.

 

 

 

 

 

 

 

 

 

 

PROTECCION CONTRA DESCARGAS ELECTRICAS Y FALLAS DE VOLTAJE

 

-Las UPS (Fuente Ininterrumpida de Poder):Es un equipo electronico que controla la tension electrica, suministra energia y potencia cuando sucede una interrupcion del suministro norma de electricidad.Permite continuar trabajando con la PC durante algunos minutos (entre 5 y 15 min. aprox.).Ese tiempo es suficiente para que almacenen los archivos que estaban abiertos,cierre los programas y apague la PC correctamente.

 

-Los estabilizadores:La funcion principal de los estabilizadores es mantener la corriente en un nivel constante de 220w con una variacion de mas o menos 5/10 %, segun el modelo.

 

-Las zapatillas con fusible:Son la opcion más ecónomica (un promedio de $30), pero no las más confiables, por que no vienen con tensionregulada. Es decir que cuando se producen picos de energía, el fusible se quema y hay que reemplazarlo.

 

-El modem:El modem por su parte, es proclive a sufrir las consecuencias de una descarga y esto sucede a travez del cable telefónico.Otro artefacto vulnerable es el router, para conexiones de red e inalambricas, que suelen entregarse en comodato a los usuarios.

 

 

 

 

PROTECCION CONTRA FALLAS NATURALES

 

PROTECCIÓN CONTRA FALLAS ELÉCTRICAS:
Para estar debidamente protegidos contra estas fallas el Código Nacional de
Electricidad Utilización establece:
Regla 060-002: La puesta a tierra y el enlace equipotencial deben ser
hechos de tal manera que sirvan para proteger y cuidar la vida e
integridad física de las personas de las consecuencias que puede
ocasionar una descarga eléctrica, y evitar daños a la propiedad,
Enlazando a tierra las partes metálicas normalmente no energizadas de
las instalaciones, equipos, artefactos, etc.
Regla 080-010 Requerimiento de Dispositivos de Protección y Control:
Los aparatos eléctricos y los conductores de fase, deben ser provistos con:
- Dispositivos para abrir automáticamente un circuito eléctrico en caso de
Que:
A..La corriente en el circuito eléctrico alcance un valor tal que dé lugar a
Que se presenten temperaturas peligrosas en los aparatos o
Conductores.
B. En la eventualidad de cortocircuitos a tierra, en concordancia con la
Regla 080-102
-C. Ante corrientes residuales a tierra que puedan ocasionar daños o
Electrocución a personas o animales, en instalaciones accesibles.
- Dispositivos de control operables manualmente en el punto de
Alimentación, para desconectar en forma segura y simultánea todos los
Conductores no puestos a tierra del circuito.
Dispositivos que, cuando sea necesario desconecten un circuito al
Producirse una falla o pérdida de tensión apreciable en el mismo.

Terremotos:

Técnicamente el terremoto es un estado vibratorio o inestabilidad de la corteza terrestre, que se presenta súbita y violentamente, produciendo desplazamientos en el suelo, que pueden ser horizontales o verticales. Esto trae como consecuencia las continuas transfomaciones y cambios de la superficie de la tierra. Su origen es diverso, ya que puede ser por la ruptura de la corteza terrestre, por el movimiento de las placas tectónicas o por influencia de un volcán.

Los sismólogos saben que los antecedentes históricos pueden contribuir a la predicción de los terremotos. Por ejemplo, en la Ciudad de México, por observación y registro, se ha comprobado que cada 35 años esta es afectada por movimientos sísmicos fuertes, y en la población de Parkfield, cerca de los Angeles, en California, se da un gran terremoto cada 20 años. Según los científicos, existe la posibilidad que en el año 2,020 se produzca otro gran terremoto en la Ciudad de San Francisco, California, mientras que en El Salvador hay uno cada 20 años. Estos son sitios ya señalados en el tiempo para sufrir estos terribles estremecimientos de la tierra.

Los Sismólogos han mencionado las alteraciones en la velocidad de las ondas sísmicas, dilatación del suelo y pequeños temblores a lo largo de las márgenes de las placas de la corteza terrestre, como signos de advertencia de que va a ocurrir un terremoto, pero hay manifestaciones naturales como la conducta de algunos animales como los peces, que en las peceras nadan con creciente agitación, los perros aúllan desesperados como sirenas de alarma y los conejos y ratones huyen despavoridos sin rumbo fijo, que pueden servir de guía o advertencia de un sismo inminente.

 

 

"ADMINISTRACION DE SOFTWARE DE LA ORGANIZACION"

 

La administración de software abarca la planeación, calendarización, administración de riegos, manejo del personal, estimación de los costos de software y la administración de calidad. En este artículo se cubre la administración de riesgos y el manejo del personal. Muchas son las causas para el fracaso de proyectos de software, se pueden mencionar: entrega tardía, no fiable, costo superior al estimado, características de ejecución pobres. Muchas veces la falla estaba en el enfoque de administración utilizado.

 

Administración de Riesgos:Una tarea muy importante del administrador de proyectos es anticipar los riesgos que podrían afectar la programación del proyecto o la calidad del software a desarrollar y emprender acciones para evitar esos riesgos.

 

Riesgos del proyecto: afectan la calendarización o los recursos del proyecto.

Riesgos del producto: afectan la calidad o desempeño del software que se está desarrollando.
Riesgos del negocio: afectan a la organización que desarrolla el software.

 


 

 

 

 

 

 

 

 

 

 -Miriam Guadalupe Araiza Peralta

-Karen Itzel Pasillas Garcia

-Alma Patricia Vega Lopez

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

RECOPILACION DE LA INFORMACION DE LA ORGANIZACIÓN

Objetivos Operativos: Objetivo y Función del sistema operativo. Un sistema operativo (SO) es un programa o conjunto de programas que en un sistema informático gestiona los recursos de hardware y provee servicios a los programas de aplicación, ejecutándose en modo privilegiado respecto de los restantes. Uno de los objetivos del sistema operativo que gestiona el núcleo intermediario consiste en gestionar los recursos de localización y protección de acceso del hardware, hecho que alivia a los programadores de aplicaciones de tener que tratar con estos detalles.

Organigrama: Se entiende por organigrama a una estructura arbórea invertida, es decir, partiendo de una base vamos creando ramas de las que parten nuevas ramas.

Manual de procesos:

 ·  Manual: Un manual es una recopilación en forma de texto, que recoge en una forma minuciosa y detallada todas las instrucciones que se deben seguir para realizar una determinada actividad, de una manera sencilla, para que sea fácil de entender, y permita a su lector, desarrollar correctamente la actividad propuesta, sin temor a errores.

·  Proceso: Es la secuencia de pasos necesarios para realizar una actividad. Si al hablar del manual, decíamos que recopilaba las instrucciones para realizar una actividad, podemos definir de manera global que el manual es una recopilación de procesos.

"ANALIZA CONFIGURACION DE SEGURIDAD EN GRUPOS Y EN CUENTAS DE USUARIO EN EL SISTEMA OPERATIVO"

 

 

 POLITICAS APLICADAS:Las políticas de seguridad informática representan un tipo especial de reglas de negocios documentadas. Así como es inconcebible pensar que millones de conductores de automóviles puedan conducir sin leyes de tránsito, es también difícil pensar que millones de personas de negocios pudieran operar sistemas sin políticas de seguridad informática.

 

 

 

-FIREWALL:Un cortafuegos (firewall en inglés) es una parte de un sistema o una red que está diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas.Se trata de un dispositivo o conjunto de dispositivos configurados para permitir, limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la base de un conjunto de normas y otros criterios.

 

-Antispyware:
Una Antipyware es un programa que evita o elimina infecciones por código malicioso, cómo los Spyware, Adware o Troyanos.Los antispyware son una herramienta o utilidad escencial para tu seguridad, si no tienes uno instalado puedes ser víctima de robos de identidad entre otras cosas muy peligrosas. La utilidad más importante es eliminar todo potente objetivo de tu seguridad.

 

-RESTRICCIONES A USUARIOS:Una forma de reducir las brechas de seguridad es asegurar que solo las personas autorizadas pueden acceder a una determinada máquina. Las organizaciones utilizan una gran variedad de herramientas y técnica para identificar a su personal autorizado.

 

-ANTIVIRUS: Los antivirus más recientes son capaces de eliminar programas espía. También hay programas especializados en eliminar o bloquear programas espía. Se recomienda no usar un solo programa antiespía sino una combinación de varios, dado que en muchas ocasiones uno de ellos detecta algunas cosas que no encuentran los otros, y viceversa.

 

-DE CUENTA: El software de control de acceso no tiene que tratar a todos los usuarios del mismo modo. Muchos sistemas utilizan contraseña para hacer que los usuarios solo puedan acceder a los ficheros relacionados con su trabajo.

 

DE AUDITORIA,RESTRICCIONES DE SOFTWARE,ETC.

 

¿ Como administrar y cambiar permisos a carpetas y archivos en Windows?
 

-PERMISOS EN CARPETA:Para conocer, cambiar, asignar o quitar permisos de archivos y carpetas haz lo siguiente:
1- Clic derecho en el archivo o carpeta.
2- Clic en Propiedades y después, en la pestaña Seguridad.
3- Clic en el botón Editar para abrir la ventana Permisos.
4- Si en el cuadro Nombres de grupos o usuarios no aparece la entidad necesaria agrégala.
Selecciona el usuario o grupo y activa la casilla Permitir o Denegar en el permiso correspondiente.
Los permisos que se pueden denegar y otorgar son los siguientes:
• Control total
• Modificar
• Lectura y ejecución
• Mostrar el contenido de la carpeta
• Lectura
• Escritura