Informtica II Ing.

Industrial

Seguridad Informatica

Informtica II Ing. Industrial

Protege el activo ms importante de una organizacin: SU INFORMACIN La inversin en ella, an es insuficiente en muchas organizaciones. Por Que? Por falta de conocimientos de conceptos bsicos que ayudan a minimizar los riesgos, sin dejar de lado los objetivos del negocio.

Informtica II Ing. Industrial

* Aspectos generales referentes a Seg. Inf. Qu es la informacin?

Desde el punto de vista de la Ing. de la Informacion - Datos. - Informacin.

Qu es la Seguridad Informtica?
Resguarda la informacin de una variedad cada vez mayor de amenazas, asegurando la continuidad del negocio, minimizar el dao a estos y maximizar utilidades y oportunidades.

Informtica II Ing. Industrial

El concepto de seguridad informtica se basa en tres conceptos fundamentales. - Confidencialidad: informacin solo accesible por los
usuarios autorizados.

- Integridad: informacin de los sistemas solo puede ser creada

y modificada por los usuarios autorizados.

- Disponibilidad: informacin del sistema disponible cuando

el usuario lo desee. Mantenerlas es esencial para sostener un margen competitivo, rentabilidad e imagen comercial.

Informtica II Ing. Industrial

Entonces la Seguridad Informatica: Es un conjunto de reglas, planes y acciones que permiten asegurar la informacin contenida en un sistema computacional. Es un conjunto de soluciones tcnicas a problemas no tcnicos. El sosten de cualquier seguridad Informatica es tener las politicas de seguridad adecuadas

Informtica II Ing. Industrial

Por qu es necesaria?
Amenazas a sistemas informticos y de redes que enfrentan las organizaciones - Sabotaje - Robo de informacin - Espionaje intelectual - Implantacin de virus informticos - Chantaje o extorsin - Fraudes / estafas - Inhabilitacin de servicios.

Informtica II Ing. Industrial

Consecuencias de una inadecuada poltica de seguridad. Econmicas directas:

- Por el hecho en s mismo - Por reparacin de los daos - Para evitarlo en el futuro.

Deterioro de imagen:
Ante el pblico en general Ante el personal Ante clientes Ante inversores

Informtica II Ing. Industrial

Consecuencias de una inadecuada poltica de seguridad. Consecuencias legales:

- Juicios de terceros afectados - Incumplimiento de normas / contratos

Informtica II Ing. Industrial

Objetivo de un manual de SI:

Crear un marco de referencia que rija el comportamiento del personal y de terceros en el uso de la informacin brindada por la compaa en todas sus formas.

Roles:
Aclarar qu es lo que se quiere proteger y por qu. Establecer de manera clara la responsabilidad para lograr esa proteccin. Proveer la base sobre la que se interpreta y/o resuelve cualquier conflicto posterior.

Informtica II Ing. Industrial

reas que cubre un manual de SI o politica de Seguridad

Polticas de Seguridad. Norma de Seguridad Fsica. Norma de Copias de Resguardo. Norma de Autenticacin de Usuarios. Norma de Integridad de Datos. Norma de Confidencialidad de la Informacin. Norma de Control de acceso. Norma de Registro de Eventos de seguridad. Procedimientos de Generacin de copias de resguardo. Procedimientos de administracin de Usuarios y Recursos.

Informtica II Ing. Industrial

Quines deben involucrarse.

- Personal de tecnologa de la empresa.

- Toda la empresa se ve involucrada. Para lograr el compromiso del personal no tcnico, la principal herramienta es la educacin a travs de cursos de concientizacin de usuarios.

Informtica II Ing. Industrial

Cmo minimizar los riesgos.

La seguridad se hace a dos niveles. - A nivel fsico: adecuadas medidas de proteccin de acceso a donde se encuentran alojados los servidores, elementos de comunicacin, etc., controlando los ingresos y egresos con adecuados mecanismos. - A nivel lgico: adecuadas medidas de seguridad para prevenir y evitar acceder o daar la informacin de la empresa, desde la red interna o desde la externa.

Informtica II Ing. Industrial

Clculo del ROI en SI.

Se facilita si la empresa tiene valorizados sus activos informticos, lleva un registro de costos por incidente, etc. Para ello es necesario evaluar el riesgo al que est expuesto un sistema. Una frmula sencilla es la siguiente: Riesgo = Amenaza * Vulnerabilidad * Costo Incidente. Amenaza: ocurrencia de algn incidente (u. de tiempo) Vulnerabilidad: probabilidad de ocurrencia del incidente Costo: expresado en dinero ($).

Informtica II Ing. Industrial

Categoras bsicas de riesgo:

Se debe categorizar el nivel en que se encuentra el sistema dentro de estas categoras. Electrnicas: generados por ataques realizados utilizando otras computadoras (hackings o sniffings) Malware (cdigos malignos): virus, gusanos, troyanos. Fsicas: problemas naturales, elctricos, etc. (robo de hw. y toma de terminales). Divulgacin de informacin. Downtime: no disponibilidad de recursos. (personas o eventos naturales). Humanas: actividades de ingeniera social. (escritorios desordenados, cajones abiertos, impresoras, etc.).

Informtica II Ing. Industrial

Intento de penetracin o Penetration test.

Se realiza para evaluar las vulnerabilidades de un sistema en cuanto al acceso no autorizado a recursos. Hay dos tipos: Internos: se realizan desde la red propia de la compaa. Se mide la posibilidad de acceso a recursos sin autorizacin, para evaluar el accionar de algn empleado o personal contratado. Externos: el objetivo es lograr el ingreso a la red de comunicaciones de la compaa desde una conexin proveniente desde internet o una lnea telefnica externa

Informtica II Ing. Industrial

Encriptacin de mensajes.
Es un procedimiento por el cual se transforma un mensaje en otro, que puede ser comprendido unicamente luego de la ejecucin del proceso inverso llamado desencripcin. Para la encriptacin se utiliza un algoritmo que involucra la utilizacin de claves. Cuando los procesos de encripcin y desencripcin utilizan la misma clave, el algoritmo recibe el nombre de simtrico. Cuando se utilizan diferentes claves, se denomina asimtrico. Los algoritmos asimtricos generan un par de claves que son nicas, al igual que su relacin. Una se denomina privada (confidencial) y la otra pblica (distribuida). A cada clave pblica le corresponde una nica privada.

Informtica II Ing. Industrial Certificado Digital.

Certificado: es un elemento que valida alguna caracterstica de su propietario. En el caso de certificados digitales los elementos que validan pueden ser: - La identidad - Un permiso para acceder a un servicio - Alguna propiedad.

Los esquemas de claves pblicas y privadas incorporan el concepto de certificados digitales. Estos resuelven la problemtica de la distribucin de las claves pblicas, certificndolas. Los certificados son emitidos por autoridades certificantes, que ofician de notarios, dando fe de la integridad de la informacin distribuida.

Informtica II Ing. Industrial Firma digital: Es un conjunto de datos asociados a un mensaje digital que permite garantizar la identidad del firmante y la integridad del mensaje. No implica la confidencialidad del mensaje. La firma digital implica que el firmante genera una huella digital (hash). Esta huella se encripta con la clave privada del firmante, el resultado es lo que se denomina firma digital, la que se enviar adjunta al mensaje original, marca que es nica para este documento y que solo l es capaz de producir. El receptor generar la firma digital del mensaje recibido, luego desenciptar la firma digital, utilizando la clave pblica del firmante, y obtendr la huella digital original, si ambas coinciden, significa que no fue alterado y que el firmante es quien dice ser.