MODELO DE SEGURIDAD INFORMÁTICA DE LA EMPRESA IMPORTRONIC S.A.

DE LA CIUDAD DE PEREIRA EN EL AÑO 2017

CRISTIAN DAVID LÓPEZ QUINTERO

CORPORACIÓN UNIVERSITARIA REMINGTON – CAT PEREIRA

FACULTAD DE CIENCIAS ECONÓMICAS Y ADMINISTRATIVAS

INGENIERÍA DE SISTEMAS

PEREIRA

2017
Modelo de Seguridad Informática de la empresa Importronic S.A. de la ciudad de Pereira en
el año 2017

Cristian David López Quintero

Trabajo de Seminario en Seguridad Informática

Tutores

Fernando Temoche. Asesor temático

William Castillo. Asesor metodológico y financiero
Mariana del Carmen Restrepo. Asesora en Competencias Comunicativas

Corporación Universitaria Remington – CAT Pereira

Facultad de Ciencias Económicas y Administrativas
Ingeniería de sistemas
Pereira
2017
 3
Nota de aceptación

Firma presidente del jurado

Firma del jurado

Firma del jurado

Pereira, xx de noviembre de 2017

 4
Dedicatoria

A mi madre Margarita Quintero Vélez que ha sido un apoyo incondicional. Para una persona

que fue un pilar fundamental en el proceso y crecimiento de mi vida, para mi abuela Estella

Vélez quien falleció hace mucho tiempo, gracias por brindarme toda una vida de enseñanzas y

fortalezas gracias a ti soy el ser humano que quiere salir adelante cada día con esfuerzo y

dedicación este gran objetivo te lo dedico con todo mi corazón, y a todas esas personas que no

creían en mí, a todas ellas mil gracias por darme a entender que no muere quien pelea. Gracias a

ellos tuve la fortaleza física y mental para conseguir uno de mis objetivos personales que es

crecer profesionalmente, para ampliar mis conocimientos y poder desenvolverme mucho mejor

en el entorno socioeconómico para adquirir una mejor calidad de vida para mi futuro.
 5
Agradecimientos

El autor desea dar sus agradecimientos a:

Importronic S.A. Empresa importadora de repuestos electrónicos, situada en la carrera 14 # 104

– 89, sector Belmonte, que permitió la realización del trabajo en sus instalaciones.

Jaime Gutiérrez. Gerente de Importronic S.A, quien con su apoyo económico y su gran

disposición por atender mis necesidades, permitió la culminación satisfactoria de este trabajo

Universidad Remington y su grupo de tutores, quienes aportaron con su conocimiento a la

realización de este trabajo.

 6
Contenido

Pág.

Introducción ................................................................................................................................... 26

1. Situación problema................................................................................................................. 28

1.1. Antecedentes del problema ............................................................................................ 28

1.2. Planteamiento del problema ........................................................................................... 29

1.3. Pregunta problema .......................................................................................................... 30

2. Objetivos ................................................................................................................................ 31

2.1. Objetivo general ............................................................................................................. 31

2.2. Objetivos específicos ...................................................................................................... 31

3. Justificación ............................................................................................................................ 33

4. Marco referencial ................................................................................................................... 35

4.1. Marco teórico ................................................................................................................. 35

4.1.1. Una nueva teoría sobre la seguridad informática ..................................................... 35

4.1.2. Caso seguridad del juego por la oscuridad ............................................................... 36

4.1.3. Tipos de seguridad informática ................................................................................ 37

4.1.4. Modelo de seguridad de información de Mc Cumber .............................................. 40

4.1.5. Teoría de la auditoria Informática, un enfoque metodológico ................................. 43

4.2. Marco Conceptual. ......................................................................................................... 52

4.2.1. Sistemas de información .......................................................................................... 52

4.2.2. ANSI......................................................................................................................... 83

4.3. Marco legal ..................................................................................................................... 85

4.3.1. Derechos de Autor .................................................................................................... 85

4.3.2. Ley 23 de 1982, ley de derechos de autor ............................................................... 86

 7
4.3.3. Ley 44 1993 se modifica el Acto de Derechos de Autor de 1982 ............................ 86

4.3.4. Ministerio del TIC .................................................................................................... 86

4.3.5. ISO 27001 ................................................................................................................ 87

4.3.6. Decreto 1360 de 1989, Equipara el software a una creación literaria ...................... 88

4.3.7. Ley Estatutaria 1581 de 2012, Ley de protección de datos personales ................... 88

4.3.8. Ley 603 de 2000 Reporte de gestión cumplimiento normas .................................... 89

4.3.9. Norma técnica colombiana, (NTC): NTC 5415-1, NTC 5420, NTC 4243 .............. 89

4.4. Marco geográfico ........................................................................................................... 91

4.4.1. Microlocalización ..................................................................................................... 91

4.5. Macrolocalización Pereira. .......................................................................................... 91

4.6. Población Pereira. ........................................................................................................ 92

4.7. Geografía Pereira ......................................................................................................... 93

4.8. Demografía Pereira. ..................................................................................................... 93

4.9. Datos Macroeconómicos de Pereira............................................................................. 93

5. Diseño metodológico.............................................................................................................. 95

5.1. Beneficios del aplicativo ................................................................................................ 95

5.2. Limitaciones del aplicativo ............................................................................................ 95

5.3. Etapas metodológicas ..................................................................................................... 96

6. Desarrollo del aplicativo ........................................................................................................ 97

6.1. Matriz de riesgos: datos .................................................................................................. 98

6.2. Matriz de riesgo de sistemas ........................................................................................ 112

6.3. Matriz de riesgo de personal ........................................................................................ 114

6.4. Análisis de riesgos, promedios de la probabilidad de amenazas ................................. 116

6.5. Factores de riesgo ......................................................................................................... 116

 8
6.5.1. Inventario de Activos Informáticos ........................................................................ 117

6.5.2. Lista de chequeo (Sistema Operativo Windows Server 2012) ............................... 117

6.5.3. Análisis de los puntos críticos ................................................................................ 119

6.5.4. Procesos evaluados: datos e información, sistemas e infraestructura, personal ..... 120

6.5.5. Objetivos de control ............................................................................................... 121

7. Recursos ............................................................................................................................... 122

7.1. Recursos materiales. ..................................................................................................... 122

7.2. Institucionales. .............................................................................................................. 122

7.3. Financieros. .................................................................................................................. 122

Cronograma .................................................................................................................................. 123

8. Conclusiones ........................................................................................................................ 124

9. Recomendaciones ................................................................................................................. 125

10. Referencias bibliográficas ................................................................................................ 126

11. Anexos .............................................................................................................................. 132

 9
Lista de cuadros

pág.

Tabla 1. Clases de sistemas de información ................................................................................... 54

Tabla 2. Clasificación de activos de información .......................................................................... 66

Tabla 3. Matriz de riesgo: datos ..................................................................................................... 98

Tabla 4. Matriz de riesgo de sistemas .......................................................................................... 112

Tabla 5. Matriz de riesgo de personal .......................................................................................... 114

Tabla 6 Análisis de riesgos, promedios de la probabilidad de amenazas .................................. 116

Tabla 7. Activos Informáticos ...................................................................................................... 117

Tabla 8. Lista de Chequeo SO (Windows Server2012) ............................................................... 119

Tabla 9. Presupuesto .................................................................................................................... 122

Tabla 10. Cronograma de trabajo de seminario ........................................................................... 123

 10
Lista de figuras

Pág.

Figura No 1. Cubo de Mccumber ................................................................................................... 43

Figura No 2. Modelo general de un sistema de información ......................................................... 52

Figura No 3. Componentes básicos de un sistema de información ................................................ 56

Figura No 4. Pirámide documental de una política de seguridad ................................................... 60

Figura No 5. Fases de la creación de políticas ............................................................................... 61

Figura No 6. Elementos que interactúan en la identificación del riesgo. ....................................... 63

Figura No 7. La tríada CIA ............................................................................................................ 64

Figura No 8. Amenazas .................................................................................................................. 67

Figura No 9. Amenazas más importantes según CSI ..................................................................... 68

Figura No 10. Porcentaje por tipo de impacto ............................................................................... 69

Figura No 11. Vulnerabilidades ..................................................................................................... 70

Figura No 12. Clasificación y flujo de información....................................................................... 71

Figura No 13. Análisis de Riesgo................................................................................................... 72

Figura No 14. Probabilidad de Amenaza ....................................................................................... 74

Figura No 15. Magnitud de Daño................................................................................................... 76

Figura No 16. Estimar la magnitud de daño................................................................................... 76

Figura No 17. Matriz de análisis de riesgo..................................................................................... 78

Figura No 18. Formato matriz de análisis de riesgo ...................................................................... 79

Figura No 19. Ejemplo matriz de análisis de riesgo con datos ...................................................... 80

Figura No 20. Reducción de Riesgo............................................................................................... 81

Figura No 21. Ubicación geográfica de la empresa Importronic S.A. ........................................... 91

Figura No 22. Pereira, Capital del Eje ........................................................................................... 92

 11
Figura No 23. Análisis de factores de riesgo .............................................................................. 116

Figura No 24. Hallazgos de puntos críticos ................................................................................. 135

 12
Lista de anexos

Pág.

CD con memorias del proyecto final 133

Hallazgos 134
 13
Glosario

Adware. Adware es un software, generalmente no deseado, que facilita el envío de

contenido publicitario a un equipo.

Amenaza. Una amenaza informática es toda circunstancia, evento o persona que tiene el

potencial de causar daño a un sistema en forma de robo, destrucción, divulgación,

modificación de datos o negación de servicio (DoS).

Amenazas polimorfas. Las amenazas polimorfas son aquellas que tienen la capacidad

de mutar y en las cuales cada instancia del malware es ligeramente diferente al anterior a

este. Los cambios automatizados en el código realizados a cada instancia no alteran la

funcionalidad del malware, sino que prácticamente inutilizan las tecnologías tradicionales

de detección antivirus contra estos ataques.

Antispam. Antispam es un producto, herramienta, servicio o mejor práctica que detiene

el spam o correo no deseado antes de que se convierta en una molestia para los usuarios. El

antispam debe ser parte de una estrategia de seguridad multinivel.

Antivirus. Antivirus es una categoría de software de seguridad que protege un equipo de

virus, normalmente a través de la detección en tiempo real y también mediante análisis del

sistema, que pone en cuarentena y elimina los virus. El antivirus debe ser parte de una

estrategia de seguridad estándar de múltiples niveles.

Aplicaciones engañosas. Las aplicaciones engañosas son programas que intentan

engañar a los usuarios informáticos para que emprendan nuevas acciones que normalmente

están encaminadas a causar la descarga de malware adicional o para que los usuarios

divulguen información personal confidencial. Un ejemplo es el software de seguridad

fraudulento, que también se denomina scareware.

 14
Ataques multi-etapas. Un ataque en múltiples etapas es una infección que normalmente

implica un ataque inicial, seguido por la instalación de una parte adicional de códigos

maliciosos. Un ejemplo es un troyano que descarga e instala adware.

Ataques Web. Un ataque Web es un ataque que se comete contra una aplicación cliente

y se origina desde un lugar en la Web, ya sea desde sitios legítimos atacados o sitios

maliciosos que han sido creados para atacar intencionalmente a los usuarios de ésta.

Blacklisting o Lista Negra. La lista negra es el proceso de identificación y bloqueo de

programas, correos electrónicos, direcciones o dominios IP conocidos maliciosos o

malévolos.

Bot. Un bot es una computadora individual infectada con malware , la cual forma parte

de una red de bots (bot net).

Botnet. Conjunto de equipos bajo el control de un bot maestro, a través de un canal de

mando y control. Estos equipos normalmente se distribuyen a través de Internet y se

utilizan para actividades malintencionadas, como el envío de spam y ataques distribuidos

de negación de servicio. Las botnet se crean al infectar las computadoras con malware, lo

cual da al atacante acceso a las máquinas. Los propietarios de computadoras infectadas

generalmente ignoran que su máquina forma parte de una botnet, a menos que tengan

software de seguridad que les informe acerca de la infección.

Caballo de Troya. Son un tipo de código malicioso que parece ser algo que no es. Una

distinción muy importante entre troyanos y virus reales es que los troyanos no infectan

otros archivos y no se propagan automáticamente. Los caballos de troya tienen códigos

maliciosos que cuando se activan causa pérdida, incluso robo de datos. Por lo general,

también tienen un componente de puerta trasera, que le permite al atacante descargar

amenazas adicionales en un equipo infectado. Normalmente se propagan a través de

 15
descargas inadvertidas, archivos adjuntos de correo electrónico o al descargar o ejecutar

voluntariamente un archivo de Internet, generalmente después de que un atacante ha

utilizado ingeniería social para convencer al usuario de que lo haga.

Canal de control y comando. Un canal de mando y control es el medio por el cual un

atacante se comunica y controla los equipos infectados con malware, lo que conforma un

botnet.

Carga destructiva. Una carga destructiva es la actividad maliciosa que realiza el

malware. Una carga destructiva es independiente de las acciones de instalación y

propagación que realiza el malware.

Crimeware. Software que realiza acciones ilegales no previstas por un usuario que

ejecuta el software. Estas acciones buscan producir beneficios económicos al distribuidor

del software.

Ciberdelito. El ciberdelito es un delito que se comete usando una computadora, red o

hardware. La computadora o dispositivo puede ser el agente, el facilitador o el objeto del

delito. El delito puede ocurrir en la computadora o en otros lugares.

Definiciones de virus . Una definición de virus es un archivo que proporciona

información al software antivirus, para identificar los riesgos de seguridad. Los archivos de

definición tienen protección contra todos los virus, gusanos, troyanos y otros riesgos de

seguridad más recientes. Las definiciones de virus también se denominan firmas antivirus.

Descarga inadvertida. Una descarga inadvertida es una descarga de malware mediante

el ataque a una vulnerabilidad de un navegador Web, equipo cliente de correo electrónico o

plug-in de navegador sin intervención alguna del usuario. Las descargas inadvertidas

pueden ocurrir al visitar un sitio Web, visualizar un mensaje de correo electrónico o pulsar

clic en una ventana emergente engañosa.

 16
Economía clandestina. La economía clandestina en línea es el mercado digital donde se

compran y se venden bienes y servicios obtenidos a través de la ciberdelincuencia, con el

fin de cometer delitos informáticos. Dos de las plataformas más comunes a disposición de

los participantes en la economía clandestina en línea son los canales en servidores IRC y

foros Web. Los dos tienen grupos de discusión que utilizan participantes para comprar y

vender bienes y servicios fraudulentos. Los artículos vendidos son datos de tarjetas de

crédito, información de cuentas bancarias, cuentas de correo electrónico y toolkits de

creación de malware. Los servicios incluyen cajeros que pueden transferir fondos de

cuentas robadas en moneda real, phishing y hosting de páginas fraudulentas y anuncios de

empleo para cargos como desarrolladores de fraude o socios de phishing.

Encriptación. La encriptación es un método de cifrado o codificación de datos para

evitar que los usuarios no autorizados lean o manipulen los datos. Sólo los individuos con

acceso a una contraseña o clave pueden descifrar y utilizar los datos. A veces, el malware

utiliza la encriptación para ocultarse del software de seguridad. Es decir, el malware cifrado

revuelve el código del programa para que sea difícil detectarlo.

Exploits o Programas intrusos . Los programas intrusos son técnicas que aprovechan

las vulnerabilidades del software y que pueden utilizarse para evadir la seguridad o atacar

un equipo en la red.

Filtración de datos. Una filtración de datos sucede cuando se compromete un sistema,

exponiendo la información a un entorno no confiable. Las filtraciones de datos a menudo

son el resultado de ataques maliciosos, que tratan de adquirir información confidencial que

puede utilizarse con fines delictivos o con otros fines malintencionados

Firewall. Un firewall es una aplicación de seguridad diseñada para bloquear las

conexiones en determinados puertos del sistema, independientemente de si el tráfico es

 17
benigno o maligno. Un firewall debería formar parte de una estrategia de seguridad

estándar de múltiples niveles.

Firma antivirus . Una firma antivirus es un archivo que proporciona información al

software antivirus para encontrar y reparar los riesgos. Las firmas antivirus proporcionan

protección contra todos los virus, gusanos, troyanos y otros riesgos de seguridad más

recientes. Las firmas antivirus también se denominan definiciones de virus.

Greylisting o Lista Gris. La lista gris es un método de defensa para proteger a los

usuarios de correo electrónico contra el spam. Los mensajes de correo electrónico son

rechazados temporalmente de un remitente que no es reconocido por el agente de

transferencia de correos. Si el correo es legítimo, el servidor de origen tratará de nuevo y se

aceptará el correo electrónico. Si el correo es de un remitente de spam, probablemente no se

reintentará su envío y por lo tanto, no logrará pasar el agente de transferencia de correos.

Gusanos. Los gusanos son programas maliciosos que se reproducen de un sistema a otro

sin usar un archivo anfitrión, lo que contrasta con los virus, puesto que requieren la

propagación de un archivo anfitrión infectado.

Ingeniería Social . Método utilizado por los atacantes para engañar a los usuarios

informáticos, para que realicen una acción que normalmente producirá consecuencias

negativas, como la descarga de malware o la divulgación de información personal. Los

ataques de phishing con frecuencia aprovechan las tácticas de ingeniería social.

Lista blanca o Whitelisting. La lista blanca es un método utilizado normalmente por

programas de bloqueo de spam, que permite a los correos electrónicos de direcciones de

correo electrónicos o nombres de dominio autorizados o conocidos pasar por el software de

seguridad.
 18
Keystroke Logger o Programa de captura de teclado (Keylogger). Es un tipo de

malware diseñado para capturar las pulsaciones, movimientos y clics del teclado y del

ratón, generalmente de forma encubierta, para intentar robar información personal, como

las cuentas y contraseñas de las tarjetas de crédito.

Malware. El malware es la descripción general de un programa informático que tiene

efectos no deseados o maliciosos. Incluye virus, gusanos, troyanos y puertas traseras. El

malware a menudo utiliza herramientas de comunicación populares, como el correo

electrónico y la mensajería instantánea, y medios magnéticos extraíbles, como dispositivos

USB, para difundirse. También se propaga a través de descargas inadvertidas y ataques a

las vulnerabilidades de seguridad en el software. La mayoría del malware peligroso

actualmente busca robar información personal que pueda ser utilizada por los atacantes

para cometer fechorías.

Mecanismo de propagación . Un mecanismo de propagación es el método que utiliza

una amenaza para infectar un sistema.

Negación de servicio (DoS). La negación de servicio es un ataque en el que el

delincuente intenta deshabilitar los recursos de una computadora o lugar en una red para los

usuarios. Un ataque distribuido de negación de servicio (DDoS) es aquel en que el atacante

aprovecha una red de computadoras distribuidas, como por ejemplo una botnet, para

perpetrar el ataque.

Pharming. Método de ataque que tiene como objetivo redirigir el tráfico de un sitio

Web a otro sitio falso, generalmente diseñado para imitar el sitio legítimo. El objetivo es

que los usuarios permanezcan ignorantes del redireccionamiento e ingresen información

personal, como la información bancaria en línea, en el sitio fraudulento. Se puede cometer

 19
pharming cambiando el archivo de los equipos anfitriones en la computadora de la víctima

o atacando una vulnerabilidad en el software del servidor DNS.

Phishing. A diferencia de la heurística o los exploradores de huella digital, el software

de seguridad de bloqueo de comportamiento se integra al sistema operativo de un equipo

anfitrión y supervisa el comportamiento de los programas en tiempo real en busca de

acciones maliciosas. El software de bloqueo de comportamiento bloquea acciones

potencialmente dañinas, antes de que tengan oportunidad de afectar el sistema. La

protección contra el comportamiento peligroso debe ser parte de una estrategia de

seguridad estándar de múltiples niveles.

Protección heurística (Heuristics-Based Protection). Forma de tecnología antivirus

que detecta las infecciones mediante el escrutinio de la estructura general de un programa,

las instrucciones de sus computadoras y otros datos contenidos en el archivo. Una

exploración heurística hace una evaluación sobre la probabilidad de que el programa sea

malicioso con base en la aparente intención de la lógica. Este plan puede detectar

infecciones desconocidas, ya que busca lógica generalmente sospechosa, en lugar de

huellas específicas de malware, tales como los métodos tradicionales de antivirus de firmas.

La protección heurística debería hacer parte de una estrategia de seguridad estándar de

múltiples niveles

Redes punto a punto (P2P) . Red virtual distribuida de participantes que hacen que una

parte de sus recursos informáticos estén a disposición de otros participantes de la red, todo

sin necesidad de servidores centralizados. Las redes puntos a punto son utilizadas para

compartir música, películas, juegos y otros archivos. Sin embargo, también son un

mecanismo muy común para la distribución de virus, bots, spyware, adware, troyanos,

rootkits, gusanos y otro tipo de malware.

 20
Rootkits. Componente de malware que utiliza la clandestinidad para mantener una

presencia persistente e indetectable en un equipo. Las acciones realizadas por un rootkit,

como la instalación y diversas formas de ejecución de códigos, se realizan sin el

conocimiento o consentimiento del usuario final.

Los rootkits no infectan las máquinas por sí mismos como lo hacen los virus o gusanos,

sino que tratan de proporcionar un entorno indetectable para ejecutar códigos maliciosos.

Los atacantes normalmente aprovechan las vulnerabilidades en el equipo seleccionado o

utilizan técnicas de ingeniería social para instalar manualmente los rootkits. O, en algunos

casos, los rootkits pueden instalarse automáticamente al ejecutarse un virus o gusano o

incluso simplemente al navegar en un sitio Web malicioso.

Una vez instalados, el atacante puede realizar prácticamente cualquier función en el

sistema, incluyendo acceso remoto, intercepción de comunicaciones, así como procesos de

ocultamiento, archivos, claves de registro y canales de comunicación.

Seguridad basada en la reputación . La seguridad basada en la reputación es una

estrategia de identificación de amenazas que clasifica las aplicaciones con base en ciertos

criterios o atributos para determinar si son probablemente malignas o benignas. Estos

atributos pueden incluir diversos aspectos como la edad de los archivos, la fuente de

descarga de los archivos y la prevalencia de firmas y archivos digitales. Luego, se

combinan los atributos para determinar la reputación de seguridad de un archivo. Las

calificaciones de reputación son utilizadas después por los usuarios informáticos para

determinar mejor lo que es seguro y permitirlo en sus sistemas. La seguridad basada en la

reputación debe ser parte de una estrategia de seguridad estándar de múltiples niveles.

Sistema de detección de intrusos. Un sistema de detección de intrusos es un servicio

que monitorea y analiza los eventos del sistema para encontrar y proporcionar en tiempo
 21
real o casi real advertencias de intentos de acceso a los recursos del sistema de manera no

autorizada. Es la detección de ataques o intentos de intrusión, que consiste en revisar

registros u otra información disponible en la red. Un sistema de detección de intrusos debe

ser parte de una estrategia de seguridad estándar de múltiples niveles.

Sistema de prevención de intrusos . Un sistema de prevención de intrusos es un

dispositivo (hardware o software) que supervisa las actividades de la red o del sistema en

busca de comportamiento no deseado o malicioso y puede reaccionar en tiempo real para

bloquear o evitar esas actividades. Un sistema de prevención de intrusos debe ser parte de

una estrategia de seguridad estándar de múltiples niveles.

Software de seguridad fraudulento (rogue). Un programa de software de seguridad

rogue es un tipo de aplicación engañosa que finge ser software de seguridad legítimo, como

un limpiador de registros o detector antivirus, aunque realmente proporciona al usuario

poca o ninguna protección y, en algunos casos, puede de hecho facilitar la instalación de

códigos maliciosos contra los que busca protegerse.

Spam. También conocido como correo basura, el spam es correo electrónico que

involucra mensajes casi idénticos enviados a numerosos destinatarios. Un sinónimo común

de spam es correo electrónico comercial no solicitado (UCE). El malware se utiliza a

menudo para propagar mensajes de spam al infectar un equipo, buscar direcciones de

correo electrónico y luego utilizar esa máquina para enviar mensajes de spam. Los

mensajes de spam generalmente se utilizan como un método de propagación de los ataques

de phishing

Spyware. Paquete de software que realiza un seguimiento y envía información de

identificación personal o información confidencial a otras personas. La información de

identificación personal es la información que puede atribuirse a una persona específica,

 22
como un nombre completo. La información confidencial incluye datos que la mayoría de

personas no estaría dispuesta a compartir con nadie e incluye datos bancarios, números de

cuentas de tarjeta de crédito y contraseñas. Los receptores de esta información pueden ser

sistemas o partes remotas con acceso local.

Toolkit. Paquete de software diseñado para ayudar a los hackers a crear y propagar

códigos maliciosos. Los toolkits frecuentemente automatizan la creación y propagación de

malware al punto que, incluso los principiante delincuentes cibernéticos son capaces de

utilizar amenazas complejas. También pueden utilizarse toolkits para lanzar ataques web,

enviar spam y crear sitios de phishing y mensajes de correo electrónico.

Variantes. Las variantes son nuevas cepas de malware que piden prestado códigos, en

diversos grados, directamente a otros virus conocidos. Normalmente se identifican con una

letra o letras, seguidos del apellido del malware; por ejemplo, W32.Downadup.A,

W32.Downadup.B y así sucesivamente.

Vector de ataque. Un vector de ataque es el método que utiliza una amenaza para atacar

un sistema.

Virus. Programa informático escrito para alterar la forma como funciona una

computadora, sin permiso o conocimiento del usuario. Un virus debe cumplir con dos

criterios:

Debe ejecutarse por sí mismo: generalmente coloca su propio código en la ruta de

ejecución de otro programa.

Debe reproducirse: por ejemplo, puede reemplazar otros archivos ejecutables con una

copia del archivo infectado por un virus. Los virus pueden infectar computadores de

escritorio y servidores de red.

 23
Muchos de los virus actuales están programados para operar sigilosamente la

computadora del usuario con el fin de robar información personal y utilizarla para cometer

delitos. Otros menoscaban el equipo dañando los programas, eliminando archivos o

volviendo a formatear el disco duro. Aún existen otros que no están diseñados para causar

daño, aunque simplemente se reproducen y hacen manifiestan su presencia presentando

mensajes de texto, video y audio, aunque este tipo de ataques de notoriedad no son tan

comunes, puesto que los autores de virus y demás malware tiene como fin obtener

ganancias ilegales.

Virus más propagado. Amenaza que se dice está en su apogeo e indica que ya se está

extendiendo entre los usuarios informáticos.

Vulnerabilidad. Una vulnerabilidad es un estado viciado en un sistema informático (o

conjunto de sistemas) que afecta las propiedades de confidencialidad, integridad y

disponibilidad (CIA) de los sistemas. Las vulnerabilidades pueden hacer lo siguiente:

Permitir que un atacante ejecute comandos como otro usuario

Permitir a un atacante acceso a los datos, lo que se opone a las restricciones específicas

de acceso a los datos

Permitir a un atacante hacerse pasar por otra entidad

Permitir a un atacante realizar una negación de servicio. Glosario de Seguridad 101.

(2017).
 24
Resumen

El trabajo acá planteado corresponde a diseñar una aplicación en xxxxxxxx, con sede la ciudad

de Pereira, en el año 2017. La razón de diseñar esta aplicación es que en el sssssssssssssssss.

Para ello y mediante un desarrollo metodológico se analiza la estructura actual del xxx, su marco

teórico, conceptual, geográfico y legal y posteriormente se realiza el aplicativo el cual

actualmente se encuentra en proceso de realizar pruebas pilotos.

Palabras claves. Sistema. Aplicativo, transporte, eficacia, eficiencia, costos, gastos, Ineficiencia,

obsolescencia, equipo automotor, regulación, logística, costos, competitividad, libro fiscal

 25
Abstract

The
 26
Introducción

Debido a la gran necesidad que se está presentando en el mercado global sobre la búsqueda de

herramientas de seguridad en la información en las empresas y el aporte científico de por si

costoso y que no se encuentra al alcance de todas las empresas, se hace cada día más importante

y necesario que para los procesos internos de cualquier empresa se tengan unos protocolos de

seguridad informática, pues cada día la información, nuevos virus, problemas electrónicos,

ataques cibernéticos, personas inescrupulosas al interior de las empresas o no suficientemente

preparadas para el desarrollo de sus labores en sus puestos de trabajo, hacen que estas

herramientas sean más útiles y necesarias para el buen funcionamiento de las empresas, es por lo

tanto básico que éstas tengan en cuenta todos los tipos o riesgos de seguridad a los que pueden

estar sometidos al momento de manipular la información y así mediante la incorporación de

medidas y buenos métodos de seguridad evitar cualquier interferencia, mal procesos, perdida de

información u anomalía de ella.

La seguridad informática en la actualidad es un punto fundamental para el control,

administración, y lo más importante para tener la información protegida y blindada de cualquier

anomalía, virus, o ataque virtual que pueda dañar o destruir dicha información que es lo más

importante en una empresa.

En este trabajo se plantean desarrollar un aplicativo que permita que la empresa Importronic

S.A., incorpore a su estructura interna, un protocolo de seguridad informático que minimice los

riesgos de pérdida de información por cualquiera de los factores tratados en párrafos anteriores,

para realizar dicho aplicativo el autor determinar realizar unos objetivos que se deben cumplir, se

investiga el marco de referencia acorde al trabajo, se plantea igualmente el desarrollo del

aplicativo, y se proponen una posible solución en seguridad informática para la empresa

 27
Importronic S.A, finalmente se realizan unas conclusiones y recomendaciones de tipo empresarial

y de alta gerencia.
 28

1. Situación problema

1.1. Antecedentes del problema

La empresa Importronic S.A. , situada en carrera 14 # 104 – 89, sector Belmonte de la ciudad

de Pereira, ( Ris.), y cuyo objeto social es la importación de repuestos electrónicos, equipos de

medida y sonido para su posterior comercialización en la región cafetera, presenta actualmente

problemas gravísimos en cuanto a la seguridad informática ya que sus sistemas son vulnerables a

riesgos y amenazas a las que normalmente se ve expuesta su información en cada uno de los

procesos y áreas de la compañía, no se tienen estandarizados controles que lleven a mitigar

delitos informático o amenaza a los que están expuestos los datos comprometiendo la integridad,

confidencialidad y disponibilidad de la información. Aunque existen los protocolos y

procedimientos rudimentarios como los recomendados en los software instalados, ello se realiza

por iniciativa y experiencia empírica de los empleados que tiene a cargo los equipos de

cómputos, redes y digitación de la información pero no se documentada, no hay una bitácora que

documente fallas, anomalías o novedades de los sistemas o procedimientos informáticos.

El problema planteado se debe principalmente a la falta de recursos financieros por parte de

la empresa pues es una PYME que no cuenta en su presupuesto el rubro que permita realizar el

correspondiente asesoramiento e instalación y desarrollo de un aplicativo de y para proteger su

informática de amenazas externas, y se recalca que la única protección que se presenta es la que

se deriva de los conocimientos empíricos que a través de la experiencia de sus empleados se

realiza pero ni siquiera estos conocimientos, protocolos, o formas de asegurarse no se encuentran

documentados ni mucho menos asegurar a seguridad y blindaje informático.

 29
En la visita que el autor de esta propuesta realizó a la empresa observo algunas falencias al

interior de ella como que los equipos, redes y medios tecnológicos con los que cuenta

actualmente la Importronic S.A. , no se encuentran protegidos de la manera más óptima, se ha

detectado que los usuarios pueden tener acceso a cualquier página web, a correos no deseados, y

esto puede abrir una brecha para que cualquier virus pueda atacar la red y dañarla, los servidores

no cuenta con un firewall de buenas características que pueda proteger la información y así

mismo la red está deteriorada y no presenta un mantenimiento adecuado no cumple las reglas de

una correcta instalación, se encontró que solo una persona es la encargada de las claves de toda la

red, es decir se ha detectado que la empresa tiene graves fallas en su seguridad informática a

todo nivel.

El problema planteado y las causas de la no implementación hacen que sea urgente y

necesario adoptar y crear políticas que regulen las buenas prácticas en cada una de las áreas de la

empresa, que protejan su información relacionada con transacciones, facturación, procesos

logísticos y recursos relacionados con su objeto social y para esto, es indispensable realizar un

análisis de riesgos de la seguridad de su información que permita posteriormente realizar un

aplicativo que beneficia a la empresa y minimice sus riesgos de pérdida de información o calidad

de la misma

1.2. Planteamiento del problema

Carencia de un aplicativo de Seguridad Informática de la empresa Importronic S.A. de la

ciudad de Pereira en el año 2017, que blinde y asegure la información, optimice sus procesos

tanto de software como de software y que sea garante de su eficacia.

 30
1.3. Pregunta problema

¿Será qué identificar los elementos que afectan la seguridad de la información de empresa

Importronic S.A., de la ciudad de Pereira, (Ris.), permitirán la posterior implementación de un

modelo de evaluación Informático que la hagan más eficiente y eficaz en sus procesos

informáticos?
 31

2. Objetivos

2.1. Objetivo general

Identificar los elementos que afectan la seguridad de la información de empresa Importronic

S.A., y la posterior implementación de un modelo de evaluación Informático que la hagan más

eficiente y eficaz en sus procesos informáticos, en la ciudad de Pereira, (Ris.), para el II

semestre de año 2017.

2.2. Objetivos específicos

 Realizar una evaluación preliminar que identifique los puntos críticos de los

procesos de hardware y software, en cuanto a información tramitada y funcionamiento de la

red, en la empresa Importronic S.A., en la ciudad de Pereira, (Ris.), para el II semestre de

año 2017.

 Diseñar una matriz de riesgos que pondere los puntos más críticos de

vulnerabilidad de todos los activos informáticos, la información y la red, en la empresa

Importronic S.A., en la ciudad de Pereira, (Ris.), para el II semestre de año 2017.

 Clasificar los activos informáticos de la empresa, que permitan su más óptimo

funcionamiento y uso en la empresa Importronic S.A., en la ciudad de Pereira, (Ris.), para el

II semestre de año 2017.

 Desarrollar un aplicativo de evaluación Informático en la empresa Importronic

S.A., en la ciudad de Pereira, (Ris.), para el II semestre de año 2017.

 32
 Realizar pruebas piloto mediante simulacro que determinen el correcto

funcionamiento del aplicativo. en la empresa Importronic S.A., en la ciudad de

Pereira, (Ris.), para el II semestre de año 2017.

 33
3. Justificación

Uno de los avances más importantes de las últimas décadas es el alcance significativo que ha

adquirido la tecnología y todos sus componentes ( TICs), y con ello el cambio tan drástico que el

mundo ha tenido con el paso de los años, el competitivo y exigente campo laboral ha podido

adaptarse rápida y positivamente al manejo de la tecnología. Lo es también el rápido crecimiento

de las empresas dedicadas a la construcción de modelos y software dedicados a la protección de

los equipos e información que se deriva de su uso.

Teniendo como resultado que la información de una empresa es de vital importancia, y no

llegando muy lejos se podría decir que es lo más relevante dentro de cualquier organización u

empresa, de esta manera se hace necesario establecer un modelo de seguridad informática para

mantener el control adecuado de todos los procesos y las herramientas con los cuales se manipula

la información como lo son los activos informáticos y que tan actualizados están, lo anterior

combinado con la necesidad de establecer unas políticas de seguridad y planes estratégicos para

conocer y detectar las fortalezas y vulnerabilidades que se generen en todos los procesos internos

de la empresa y sus entornos.

La tecnología informática a nivel mundial, nacional y local se ha convertido en una

herramienta fundamental para la solución de los procesos internos de una empresa, ya que brinda

el almacenamiento, ejecución y la rapidez de manipular la información en cualquier momento y

usarla en el momento preciso. Pero hay que tener en cuenta que debido a la gran evolución de las

tecnologías, la información se ha visto vulnerada por todo tipo de virus y otros factores externos

que pueden poner en peligro la información y aún más el futuro de una empresa.

Las organizaciones vienen siendo objeto de incontables intentos a diario por hacerse a la

información y control de sus equipos de cómputo por parte de los delincuentes informáticos. Para
 34
muchas de las empresas que han sido víctimas de ataques informáticos, no ha sido prioridad

capacitar el personal y la indagación respecto a las posibles medidas de seguridad que deben

tomarse para prevenirlos. Por ende, el desarrollo de sistemas de seguridad en las empresas se

convierte en una necesidad vital, la cual pretende colocar en manos de las empresas los

conocimientos y las diferentes herramientas que se encuentran disponibles en pro de elevar el

nivel de seguridad informática de la organización. Al tener claros las características de las

modelos o protocolos que se implementan en materia de seguridad informática, es más probable

acertar en evitar o minimizar al menos el riesgo de pérdida de información y conservación de

software y hardware.

El modelo de seguridad informática que se pretende implementar en la empresa

Importronic S.A , garantizará que todos los procesos internos, equipos y red, se encuentren

totalmente protegidos y así mismo la empresa se presentara ante su mercado con mejores

indicadores de productividad y desarrollo tecnológico lo que le permitirá ser más competitiva

 35
4. Marco referencial

4.1. Marco teórico

4.1.1. Una nueva teoría sobre la seguridad informática

Una reciente investigación cuyo tema principal es la seguridad basada en la oscuridad,

es decir, en que se puede mejorar la seguridad de un sistema escondiendo lo más posible

cómo funciona dentro de la computadora es una idea no compartida por muchos

programadores porque no parece una técnica adecuada, es decir, no se intenta hacer un

programa que sea intrínsecamente seguro, sino que se busca simplemente que sea difícil de

hallar en un sistema que lo esté operando.

La solución a esto no es escribir un mal programa, sino usar “ofuscación” como paso

final. Esto es, tomar un programa bien escrito y desarrollar un rango de transformaciones

sintácticas para hacer la ingeniería en reversa algo tan difícil que de hecho, sea desechable

como opción para decodificar código.

Sin embargo, uno de los principios de protección de código es el “principio de

Kerckhoff”, que declara que no hay seguridad por oscuridad. Igualmente, está el “principio

de fortificación”, que indica que el defensor tiene que defenderse de todos los vectores de

ataque, mientras que el atacante solamente necesita uno.

Estos dos principios se aplican generalmente a sistemas y no sólo al software, pero es

causa para preocuparse ya que al final de cuenta todos los sistemas son en muchos sentidos

acumulación de software. Y aunque la ofuscación puede ser valiosa en algún sentido, no

deja de ser vergonzosa como técnica de seguridad.

 36
Sin embargo, la nueva investigación sugiere que la seguridad es un juego de

información incompleta y que se puede aprender mucho examinando los comportamientos

de los atacantes, así como los algoritmos que usan para sus agresiones. El “oscurecer” el

juego, de acuerdo al estudio, da alguna ventaja y mejora las posibilidades de “ganar el

juego”. En breve: la ofuscación es un buen principio general, pues dificulta al atacante

saber cómo atacarlo a uno. Vale la pena leer el estudio por la presentación que hace sobre

el tema de la seguridad en general. De hecho, la idea moderna en la seguridad es el usar la

idea de que incluso si el ataque conoce el algoritmo, no puede quebrar la seguridad sin una

gran capacidad de cómputo para romper los códigos de seguridad. Así pues, entonces la

seguridad por oscuridad puede ser incluso una buena idea de protección. (Manuel, 2011)

4.1.2. Caso seguridad del juego por la oscuridad

Shannon buscaba seguridad contra el atacante con poderes computacionales ilimitados:

"si una fuente de información transmite alguna información, entonces el atacante de

Shannon seguramente extraerá esa información”. Diffie y Hellman refinaron el modelo

atacante de Shannon teniendo en cuenta el hecho de que los atacantes reales están

limitados computacionalmente. Esta idea se convirtió en uno de los mayores nuevos

paradigmas en informática, y llevó a la criptografía moderna

Shannon también buscó seguridad contra el atacante con poderes lógicos y

observacionales ilimitados, expresados a través de la máxima de que "el enemigo conoce el

sistema". Esta visión sigue siendo endosada en la criptografía. La formulación popular, que

se remonta a Kerckhoffs, es que "no hay seguridad por la oscuridad", lo que significa que

los algoritmos no se pueden ocultar del atacante, y que la seguridad sólo debe confiar en

las claves secretas. De hecho, la criptografía moderna va incluso más lejos que Shannon o
 37
Kerckhoffs en tácitamente asumiendo que " si hay un algoritmo que puede romper el

sistema, entonces el atacante seguramente encontrará ese algoritmo", El atacante no es

visto como una computadora omnipotente más, pero todavía se interpreta como un

programador omnipotente.

Por lo tanto, el paso de Diffie-Hellman desde potencias computacionales ilimitadas a

limitadas no se ha extendido en un paso desde poderes lógicos o de programación

ilimitados hasta limitados. ¿Es la suposición de que todos los algoritmos factibles

eventualmente serán descubiertos e implementados realmente diferente de la suposición de

que todo lo que es computable será calculado finalmente? El presente artículo explora

algunas maneras de refinar los modelos actuales del atacante y del defensor, teniendo en

cuenta sus limitados poderes lógicos y de programación. Si el atacante adaptativo consulta

activamente al sistema para buscar sus vulnerabilidades, ¿puede el sistema obtener alguna

seguridad aprendiendo activamente los métodos del atacante y adaptándose a ellos?

(Pavlovic, 2012)

4.1.3. Tipos de seguridad informática

Existen diversos tipos de seguridad informática que una empresa debe vigilar para evitar

pérdida de datos y/o prestigio. Se trata de uno de los temas más importantes en las

organizaciones. Con tantas cosas ocurriendo en Internet, se vuelve extremadamente

necesario asegurar el contenido de nuestra red y nuestras comunicaciones ante posibles

problemas de pérdida o interceptación de datos.

La seguridad informática es la rama de la tecnología de la información que se ocupa de

la protección de datos en una red, sus comunicaciones o una computadora independiente.

 38
Debido a que todas las organizaciones son dependientes de la informática, la tecnología

relacionada con la seguridad requiere un desarrollo constante.

Seguridad de Hardware. La seguridad de hardware se puede relacionar con un

dispositivo que se utiliza para escanear un sistema o controlar el tráfico de red. Los

ejemplos más comunes incluyen cortafuegos o firewalls de hardware y servidores proxy.

Otros ejemplos menos comunes incluyen módulos de seguridad de hardware (HSM), los

cuales suministran claves criptográficas para funciones críticas tales como el cifrado,

descifrado y autenticación para varios sistemas. De entre los diferentes tipos de seguridad

informática, son los sistemas de hardware los que pueden proporcionar una seguridad más

robusta, además de que también pueden servir como capa adicional de seguridad para los

sistemas importantes.

La seguridad de hardware también se refiere a cómo podemos proteger nuestros equipos

físicos de cualquier daño. Para evaluar la seguridad de un dispositivo de hardware, es

necesario tener en cuenta las vulnerabilidades existentes desde su fabricación, así como

otras fuentes potenciales, tales como código que se ejecuta en dicho hardware y los

dispositivos entrada y salida de datos que hay conectados en la red.

Seguridad de Software. La seguridad de software se utiliza para proteger el software

contra ataques maliciosos de hackers y otros riesgos, de forma que nuestro software siga

funcionando correctamente con este tipo de riesgos potenciales. Esta seguridad de software

es necesaria para proporcionar integridad, autenticación y disponibilidad.

Entre los tipos de seguridad informática, este campo de la seguridad de software es

relativamente nuevo. Los primeros libros y clases académicas sobre este tema aparecieron

en 2001, lo que demuestra que ha sido recientemente cuando desarrolladores, arquitectos

 39
de software y científicos informáticos han comenzado a estudiar sistemáticamente cómo

construir software seguro.

Los defectos de software tienen diversas ramificaciones de seguridad, tales como

errores de implementación, desbordamientos de buffer, defectos de diseño, mal manejo de

errores, etc. Con demasiada frecuencia, intrusos maliciosos pueden introducirse en nuestros

sistemas mediante la explotación de algunos de estos defectos de software.

Las aplicaciones que tienen salida a Internet presentan además un riesgo de seguridad

más alto. Se trata del más común hoy en día. Los agujeros de seguridad en el software son

habituales y el problema es cada vez mayor.

La seguridad de software aprovecha las mejores prácticas de la ingeniería de software e

intenta hacer pensar en la seguridad desde el primer momento del ciclo de vida del

software.

Seguridad de red. La seguridad de red se refiere a cualesquiera actividades diseñadas

para proteger la red. En concreto, estas actividades protegen la facilidad de uso, fiabilidad,

integridad y seguridad de su red y datos. La seguridad de red efectiva se dirige a una

variedad de amenazas y la forma de impedir que entren o se difundan en una red de

dispositivos.

Amenazas a la red

 Virus, gusanos y caballos de Troya

 Software espía y publicitario

 Ataques de día cero, también llamados ataques de hora cero

 Ataques de hackers

 Ataques de denegación de servicio

 40
 Intercepción o robo de datos

 Robo de identidad

Hay que entender que no hay una solución única que protege de una variedad de

amenazas. Son necesarios varios niveles de seguridad, si uno falla, los demás siguen en

pie.

Seguridad de la red se lleva a cabo a través de hardware y software. El software debe ser

actualizado constantemente para lograr protegerse de amenazas emergentes. Un sistema de

seguridad de la red por lo general se compone de muchos componentes. Idealmente, todos

los componentes trabajan juntos, lo que minimiza el mantenimiento y mejora la seguridad.

Los componentes de seguridad de red incluyen:

 Antivirus y antispyware

 Cortafuegos, para bloquear el acceso no autorizado a su red

 Sistemas de prevención de intrusiones (IPS), para identificar las amenazas de rápida

propagación, como el día cero o cero horas ataques

 Redes privadas virtuales (VPN), para proporcionar acceso remoto seguro.

(Universidad Internacional de Valencia , 2016).

4.1.4. Modelo de seguridad de información de Mc Cumber

En 1991, John McCumber creó un modelo marco para establecer y evaluar información

seguridad (Aseguramiento de la información) programas, ahora conocidos como :El cubo

McCumber. Este modelo de seguridad es representado como un tridimensional Cubo de

Rubik-como red.

El concepto de este modelo es que: en el desarrollo y aseguramiento de la información

en los sistemas, las organizaciones deben considerar la interrelación de todos los diferentes
 41
factores que afectan a los sistemas. Idear un robusto sistema, permite el aseguramiento de

la información y de los programas, uno debe considerar no sólo los objetivos de seguridad

del programa, pero también cómo estos objetivos se refieren específicamente a los

diferentes estados en que la información puede residir en un sistema y toda la gama de las

salvaguardas de seguridad disponibles que deben ser considerados en el diseño. El modelo

McCumber ayuda a recordar a considerar todos los aspectos de diseño importantes sin ser

demasiado concentrado en alguno en particular (es decir, depender exclusivamente de los

controles técnicos a expensas de las políticas necesarias y formación del usuario final).

Dimensiones y atributos del cubo McCumber

 Confidencialidad: garantía de que información sensible no es intencional o

accidentalmente revelada a personas no autorizadas individuos.

 Integridad: aseguramiento de que información no intencional o accidentalmente se

modifica de tal manera en cuanto a poner en entredicho su fiabilidad.

 Disponibilidad de: asegurar que las personas autorizadas tengan acceso oportuno y

confiable a los datos y otros recursos cuando sea necesario.

Estados de información

 Almacenamiento: datos en reposo (DAR) en un sistema de información, como el

que se almacena en memoria o en una cinta magnética o disco.

 Transmisión: transferencia de datos entre sistemas de información - también

conocido como datos en tránsito (DIT).

 Proceso: realizar operaciones de datos con el fin de lograr un objetivo deseado.

Salvaguardias
 42
 Políticas y prácticas: controles administrativos, como directivas de gestión, que

proporcionan una base para saber cómo .Aseguramiento de la información, debe ser

implementado dentro de una organización. (Ejemplos: las políticas de uso aceptable o

procedimientos de respuesta a incidentes) - también conocido como operaciones de.

 Factores humanos: garantizar que los usuarios de sistemas de información son

conscientes de sus roles y responsabilidades en materia de protección de sistemas de

información y son capaces de las siguientes normas. (ejemplo: para el usuario final de

formación sobre evitando infecciones por virus de computadora o reconocer tácticas de

ingeniería social) también conocido como personal

 Tecnología: software y soluciones basadas en hardware diseñadas para proteger los

sistemas de información, ejemplos: antivirus, firewalls, sistemas de detección de intrusos,

entre otros.

La idea es retrasar el avance de la seguridad como un arte y apoyarlo con una

metodología estructurada que funciona independientemente de la evolución de la

tecnología. La base de esta metodología es la interrelación entre la confidencialidad,

integridad y disponibilidad con almacenamiento, transmisión y procesamiento mientras

aplica las políticas, procedimientos, lado humano y tecnología. (McCumbe, 2004)

 43
Figura No 1. Cubo de Mccumber

F u e n t e . https://eeppiiccaa.wordpress.com/2010/03/17/diagramas-cubo-mccumber/, Seguridad y el Cubo de

McCumber
Descripción del cubo. Así, el Cubo de McCumber es una aproximación estructurada que analiza todas
las facetas de los requerimientos de la seguridad de la información, proveyendo al mismo tiempo un léxico
común que puede emplearse para especificar requerimientos, tomar decisiones que mitiguen el riesgo, y
desarrollar e implementar salvaguardas.
El desarrollo del Cubo de McCumber fue necesario para definir un modelo preciso no constreñido por
cambios organizacionales o técnicos. En él hay nueve intercesiones distintas, cada una con 3 capas de
profundidad. Todos los aspectos de la seguridad de los sistemas de información pueden ser vistos dentro del
framework de este modelo.
La metodología de uso del Cubo de McCumber está basada en descomponerlo en sus bloques
constitutivos y usarlos como la base para determinar las salvaguardas necesarias para cada estado de la
información.
Una vez sea identificado el estado a analizar (Eje Y: Transmisión, Almacenamiento, Procesamiento) se
comienza evaluar los aspectos relevantes de la seguridad del sistema (Eje X: Confidencialidad, Integridad,
Disponibilidad) que impacten los recursos de información.
El eje Z del cubo define las tres categorías primarias de salvaguardas que pueden ser usadas para asegurar
la cantidad apropiada de seguridad (Tecnología, Políticas y Procedimientos, Factores Humanos).
Por ejemplo, para asegurar la confidencialidad apropiada en una transmisión, asignar valores a la
información (alta, media, baja) nos ayudará a determinar en que grado se cumplen estos requerimientos de
seguridad. Esto resulta extremadamente útil para realizar comparaciones coste-beneficio.
Siguiendo con el ejemplo, si la información a transmitir tiene un valor alto, se necesitará tecnología y
políticas de seguridad para proteger su confidencialidad. Pero probablemente no habrá necesidad de ninguna
intervención humana para esta misma tarea. (Germán, Elegant Themes, 2015)
4.1.5. Teoría de la auditoria Informática, un enfoque metodológico

la función de auditoría informática ha pasado de ser una función meramente de ayuda al

auditor financiero a ser una función que desarrolla un trabajo y lo seguirá haciendo en el

futuro, más con la importancia que para las organizaciones tienen los sistemas informáticos
 44
y de información que son su objeto de estudio y análisis. El auditor informático pasa a ser

auditor y consultor del ente empresarial, en el que va a ser analista, auditor y asesor en:

 Seguridad.

 Control interno y operativo.

 Eficiencia y eficacia.

 Tecnología informática.

 Continuidad de operaciones.

 Gestión de riesgos.

No solamente de los sistemas informáticos objeto de su estudio, sino de las relaciones e

implicaciones operativas que dichos sistemas tienen en el contexto empresarial. Con esta

amplitud de miras, ¿cómo se va a organizar la función dentro de la empresa? Está claro que

en este caso estamos hablando de una función interna de auditoría informática.

La concepción típica que he visto en las empresas hasta ahora, es que la función de

auditoría informática está intrínsecamente relacionada dentro de lo que es la función de

auditoría interna. Esta concepción se basa en el nacimiento histórico de la auditoría

informática y en la dificultad de separar el elemento .informático de lo que es la auditoría

operativa y financiera, al igual que lo es separar la operativa de una empresa de los

sistemas de información que los soportan. (Universidad Autonoma del estado de Hidalgo,

2011)

Ubicación jerárquica de la función de informática. La alta dirección de cualquier

organización tiene que estar consciente de que la función de auditoría se debe ejercer con

el criterio básico de independencia personal jerárquica, es decir, que el desempeño de las

actividades profesionales en el proceso de evaluación y control no debe verse afectado por

 45
aspectos emocionales ni de autoridad emanados de los responsables e involucrados en el

momento de la auditoría. En la medida en que la dirección establezca políticas claras que

especifiquen que la función del auditor es asegurar el control y la seguridad de todos los

elementos relacionados con la informática y que responde a una necesidad de la alta

dirección, el apoyo y participación de todas las áreas del negocio fluirá de manera natural.

Asimismo, se evitará que esto se convierta en un proceso tenso y complicado, o en una

actividad burocrática e improductiva. Se recomienda ubicar la función de auditoría en

informática en un nivel organizacional que le asegure la independencia y soporte requerido

de la alta dirección, a fin de contar con una entidad confiable y eficiente. La falta de una

posición organizacional adecuada a las características especificas que la rodean, puede

convertirla en foco de frustración e incertidumbre con el paso del tiempo. El control y la

seguridad no pueden establecerse ni supervisarse desde los niveles inferiores de una

empresa; su posición debe ser estratégica o por perfiles especiales del negocio, táctico.

Nunca se ejercerán desde un nivel operativo; la alternativa es que los haga personal

profesional externo. Si la auditoría en informática es ejercida por personal externo a la

empresa, se recomienda que el seguimiento, coordinación, apoyo y aprobación del trabajo

efectuado por los asesores externos sea llevado a cabo por la alta dirección (director o

gerentes de auditoría y del área de informática). (Universidad Autonoma del estado de

Hidalgo, 2011)

Tipos de estructuras donde se ubica la auditoría en informática. La auditoría en

informática se debe considerar en un alto nivel organizacional, de igual manera que

cualquier otra rama de la auditoría tradicional. La ubicación deseable es subordinada

jerárquicamente a una dirección o subdirección, ya sea una dirección administrativa o de

 46
informática. El objetivo primordial para la alta dirección del negocio es asegurar que el

desempeño de las actividades de auditoría en informática se ejecuten oportuna y

eficientemente, de manera que se logre que los auditores cuenten con:

 Independencia funcional.

 Libertad de acción.

 Facultad para la toma de decisiones.

 Negociación con los niveles gerenciales.

 Involucramiento en proyectos de alto impacto en el negocio.

Las dimensiones de las estructuras mencionadas podrán variar de acuerdo con el giro

de cada organización, el grado de penetración que tengan los servicios y productos de la

función de informática y el estilo de operación de la organización. Es importante resaltar

que en la actualidad existe muy poca difusión y aún menor aceptación por parte de las

empresas de la necesidad de contar con una función de auditoría en informática; sin

embargo, es factible pronosticar - con un alto grado de certidumbre - que el crecimiento

acelerado de las inversiones y proyectos de informática, donde se involucran todas las

empresas, forzará a que se tome una decisión al respecto, aunque a la auditoría en

informática se le llame aseguramiento de calidad, evaluación de informática o auditoría de

sistemas y sea ejercida por personal externo o interno de la empresa.

Una cantidad considerable de empresas aún cuestiona la rentabilidad y productividad de

la función de informática. Prueba de ello son las empresas e instituciones donde la función

de informática depende de la dirección o las gerencias de recursos humanos, finanzas,

manufactura (empresas industriales), etc. y en algunos casos que resultan increíbles en

estos tiempos, de alguna jefatura de contabilidad o de los usuarios. Lo anterior muestra la

 47
dificultad que encuentra la función de auditoría en informática para ubicarse de manera

formal en las empresas, pues la informática, área sobre la cual operar, se encuentra

débilmente ubicada. A menudo la función de auditoría en informática se encuentra ubicada

dentro del área de auditoría y en un número menor de empresas o negocios en la función de

informática. Es importante señalar lo anterior, ya que el auditor en informática tendrá

diferentes alcances y enfoques en el momento de ejecutar su trabajo. Las mismas áreas del

negocio tienen una visión distinta de la función, de acuerdo a la dirección o gerencia donde

se encuentran.

Funciones de la auditoría en informática. En cualquiera de las estructuras

mencionadas hay que asegurar al negocio un conjunto de acciones mínimas que vuelvan

rentable la auditoría en informática.

Funciones mínima. Evaluación y verificación de los controles y procedimientos

relacionados con la función de informática dentro de la organización. La validación de los

controles y procedimientos utilizados para el aseguramiento permanente del uso eficiente

de los sistemas de información computarizados y de los recursos de informática dentro de

la organización.

a) Evaluación, verificación e implantación oportuna de los controles y procedimientos

que se requieren para el aseguramiento del buen uso y aprovechamiento de la función de

informática.

b) Aseguramiento permanente de la existencia y cumplimiento de los controles y

procedimientos que regulan las actividades y utilización de los recursos de informática de

acuerdo con las políticas de la organización.

 48
c) Desarrollar la auditoría en informática conforme normas y políticas estandarizadas a

nivel nacional e internacional.

d) Evaluar las áreas de riesgo de la función de informática y justificar su evaluación

con la alta dirección del negocio.

e) Elaborar un plan de auditoría en informática en los plazos determinados por el

responsable de la función.

f) Obtener la aprobación formal de los proyectos del plan y difundidos entre los

involucrados para su compromiso.

g) Administrar o ejecutar de manera eficiente los proyectos contemplados en el plan de

la auditoría en informática.

Una vez formalizada la función en cualquiera de las situaciones organizacionales

señaladas, se define un mecanismo de administración y control de la función. Dicho

mecanismo garantizará que todos los recursos y proyectos involucrados en el proceso de

desempeño y gestión de la auditoría en informática, obedezcan los principios básicos de un

proceso administrativo. Entre otros, los elementos más importantes e indispensables son la

planeación, el personal, el control y el seguimiento del desempeño.

Objetivos principales de la administración de la auditoría en informática:

 Asegurar que la función de auditoría cubra y proteja los mayores riesgos y

exposiciones existentes en el medio informático en el negocio.

 Asegurar que los recursos de informática (hardware, software, telecomunicaciones,

servicios, personal, etc.) sean orientados al logro de los objetivos y las estrategias de las

organizaciones.
 49
 Asegurar la formulación, elaboración y difusión formal de las políticas, controles y

procedimientos inherentes a la auditoría en informática que garanticen el uso y

aprovechamiento óptimo y eficiente de cada uno de los recursos de informática en el

negocio.

 Asegurar el cumplimiento formal de las políticas, controles y procedimientos

definidos en cada proyecto de auditoría en informática mediante un seguimiento oportuno.

 Asegurar que se den los resultados esperados por el negocio mediante la

coordinación y apoyo reciproco con:

1. Auditoría.

2. Asesores externos.

3. Informática.

4. Alta dirección.

Con el fin de que los objetivos y metas de la función de auditoría en informática se

lleven a cabo con éxito, es necesario considerar lo siguiente:

 •Elaborar y formalizar los planes de auditoría en informática.

 Organizar y administrar la función de manera eficiente.

 Dirigir y controlar los proyectos de auditoría en informática con oportunidad.

 Revisar y evaluar de manera periódica el desempeño de los auditores en informática.

Evaluar el desempeño de la función de informática. (Universidad Autonoma del estado

de Hidalgo, 2011)

Funciones del departamento de auditoría Informática:

 50
 Evaluar los sistemas que aseguran el cumplimiento de las políticas, planes,

procedimientos, normas y reglamentos, emitiendo sugerencias de mejora en los controles

internos establecidos.

 Vigilar el cumplimiento de las normas e instrucciones establecidas por la Dirección

de la Sociedad, realizando el seguimiento de las recomendaciones emitidas.

 Revisar y evaluar la fiabilidad del sistema contable establecido y que éste responde a

la normativa legal e interna.

 Evaluar, asimismo, a través de la auditoria informática, la adecuación, utilidad,

eficiencia, fiabilidad y salvaguarda de la información mecanizada de la Sociedad así como

la organización de los servicios que la elaboran y procesan.

 Verificar la existencia de los activos y revisar los medios de salvaguarda de los

mismos.

 Colaborar con los auditores externos, integrando su labor con los objetivos del

Departamento de Auditoría Interna.

 El auditor externo debe tener acceso a los informes de auditoría interna y debe ser

informado de cualquier asunto que, estando en conocimiento de los auditores internos,

pueda afectar a su trabajo. De igual manera, los auditores externos deberán comunicarles

cualquier asunto que pudiera afectar a la auditoría interna. Deberán estar coordinados para

evitar duplicidades en el trabajo a realizar, por medio de reuniones periódicas y la puesta

en común de técnicas de auditoría, métodos y terminología.

 Asistir a los miembros de la organización, proporcionándoles análisis,

recomendaciones, consejo e información concerniente a las actividades revisadas. Evaluar

la posibilidad de establecer (y en caso afirmativo, implantarlo) un sistema de control a

 51
distancia para asegurar el mantenimiento de un seguimiento permanente, por medios

informáticos, de operaciones anómalas, al objeto de prevenir y detectar rápidamente

incidencias de normativa, mediante un modelo de indicadores ponderado que permita

ejercer un seguimiento permanente sobre determinadas situaciones que por su gravedad

pueden perjudicar sustancialmente a la organización o pueden provocar pérdidas de

rentabilidad o de negocio.

 Sugerir las medidas de control interno necesarias para garantizar el cumplimiento de

la normativa en la elaboración y publicación de la información financiera, proporcionando

un grado razonable de control en el cumplimiento de fechas y plazos legales de la

documentación a entregar por parte de Sociedad al Organismo Supervisor.

 Proporcionar un grado razonable de seguridad acerca del cumplimiento de las leyes

y normativa en vigor aplicable.

 Informar a la Dirección de cuantas anomalías o irregularidades se detecten,

recomendando las mejores acciones correctoras.

 Evaluar que la organización cuenta con los medios humanos y materiales que

garanticen la adecuada gestión del negocio, a través de la oportuna segregación de

funciones.

 Elaborar un Código de Conducta a nivel corporativo, que sea aprobado por el

Consejo de Administración de la Sociedad.

 Evaluar periódicamente el cumplimiento del mismo. En caso preciso, la ejecución de

investigaciones especiales. (Hernández, 2003)

 52
4.2. Marco Conceptual.

4.2.1. Sistemas de información

Definición de sistemas de información. Con el advenimiento de las tecnologías de

información y comunicación TIC, las organizaciones vieron oportunidad para implementar

sistemas de información, los cuales permitan la consulta y acceso a datos relevantes y

pertinentes para la toma de decisiones estratégicas basadas en evidencias, bajo una figura

de procesos d negocio, entendido como conjunto de actividades lógicamente coordinadas,

relacionadas y desarrolladas por la organización en aras de producir resultados de negocio

puntuales y específicos.

En primera instancia, es preciso esclarecer que el término sistema hace referencia a un

“conjunto de componentes que interactúan entre sí para lograr un objetivo común. Aunque

existe una gran variedad de sistemas, la mayoría de ellos pueden representarse a través de

un modelo formado por cinco bloques básicos: elementos de entrada, elementos de salida,

sección de transformación, mecanismos de control y objetivos”. (Graciela, 2014)

Gestión del riesgo en seguridad de la información

Figura No 2. Modelo general de un sistema de información

Fuente. Fernández Alarcón, Vicente, (2010).

 53
Descripción. Entrada: corresponde a la recolección o captura de datos internos o externos a la organización para
ser capturados en el sistema de información.
Transformación: las entradas son manipuladas, analizadas y procesadas con la finalidad de darles sentido para
quienes son los usuarios del sistema.
Salida: consiste en la distribución de la información procesada para el usuario quien la utilizará durante un tiempo
específico en determinado proceso o actividad.

El concepto sistema de información es definido por (Laudon y Laudon 2006), como

“un conjunto de componentes interrelacionados que recolectan (o recuperan), procesan,

almacenan y distribuyen información para apoyar los procesos de toma de decisiones y de

control en una organización. Además de apoyar la toma de decisiones, la coordinación y el

control, también pueden ayudar a los gerentes y trabajadores del conocimiento a analizar

problemas, visualizar temas complejos y crear nuevos productos”, de tal manera la

información se constituye el cimiento para los negocios en el marco de la sociedad del

conocimiento. Bajo esta perspectiva, la organización actual ha cambiado, al tener en cuenta

que la información y el conocimiento se posicionan como recursos estratégicos valiosos.

(Graciela, 2014)
 54
Clases de sistemas de información
Tabla 1. Clases de sistemas de información

Fuente. Laudon y Laudon (2006), citado en: Trujillo Diana Graciela y Rozo Julio César (2014). Y citado en Linea:
http://repository.lasalle.edu.co/bitstream/handle/10185/18057/T33.14%20T789g.pdf?sequence=1
Descripción. Laudon y Laudon, hacen una clasificación de los sistemas de información desde la perspectiva del proceso de negocio que se desee atender, de esta
manera los clasifica en: sistemas de ventas y marketing, sistemas de manufactura y producción, sistemas financieros y contables y sistemas de recursos humanos,
como se observa en la tabla No 1. (Laudon y Laudon, 2014).
 55
Para Whitman y Mattord (2010), la seguridad de la información es definida como: “la

protección de la información y sus elementos críticos, incluyendo el software y hardware,

que usa, almacena y transmite la información; por medio de aplicación de políticas,

entrenamiento, programas de concientización y mecanismos”

En concordancia con lo antes mencionado, un importante activo al que se le debe

garantizar su protección es la información, pues certifica la continuidad de una

organización. Es por esto que, sin importar su tamaño se debe determinar un grupo de

responsables encargados de velar por su seguridad; así como establecer que el manejo de la

información se realice enmarcado en los tres criterios de seguridad de la información:

confidencialidad, integridad y disponibilidad, de cara a mitigar los peligros a los que se

encuentra expuesta. El Instituto SANS 1 , al respecto asegura “se refiere a los procesos y

metodologías las cuales son diseñadas e implementadas para proteger la información

electrónica, documental o cualquier otra forma de información”. (Instituto SANS, 2010)

Aquí es evidente un punto crucial para las naciones en las cuales su economía está

basada en el conocimiento, principalmente porque sin la implementación de

procedimientos enfocados a proteger la información no sería un factor de éxito para

aumentar las regalías en el sector de bienes y servicios. Ahora bien, la norma ISO 27001:

2005 define este concepto de la siguiente forma “la seguridad de la información es la

protección de la información contra una gran variedad de amenazas con el fin de asegurar

la continuidad del negocio, minimizar el riesgo y maximizar el retorno de inversiones y

oportunidades de negocio”. (Norma ISO/IEC 27001., 2005) , (Graciela, 2014)

1 El Instituto SANS Es una institución fundada en Maryland, Estados Unidos en 1989 con el ánimo de analizar
diferentes aspectos asociados a la seguridad de la información y gestión de incidentes; así como especializar a
profesionales en esta disciplina.
 56
En esta definición se adhieren otros factores a tener en cuenta para referirse a seguridad

de la información como son la gestión del riesgo y su probabilidad de ocurrencia; así como

la mitigación de los mismos. De otro lado deja entrever la dimensión que adquieren los

pilares confidencialidad, integridad y disponibilidad, más conocidos como triada C.I.D.

que serán abarcados al detalle más adelante en este mismo capítulo.

Componentes de los sistemas de información. Con base en los fundamentos dados por

Laudon y Laudon, (Graciela, 2014) los sistemas de información proporcionan a la

organización información respectiva de lugares, personas, eventos importantes para la

gestión (Ilustración 4); así las cosas puede considerarse se encuentran constituidos por

componentes tales como:

Figura No 3. Componentes básicos de un sistema de información

Fuente. Laudon y Laudon, (2006), citado en: Trujillo Diana Graciela y Rozo Julio César (2014). (Graciela, 2014)
Descripción.

Datos. Las entradas del sistema son los datos, donde cada uno es considerado como la secuencia de

hechos que representan eventos ocurridos en la organización o en el entorno; sin embargo, se encuentran

aislados, sin ordenar, ni organizar; por tanto no pueden ser entendidos por el humano para ser utilizados de

manera efectiva. Hardware, necesario para la funcionalidad del sistema de información, con base en este
 57
puede almacenar, procesar y comunicar la información a los usuarios que la organización decida hacer

partícipes de sus sistemas.

Software, o programas de cómputo son un conjunto de instrucciones lógicas que dirigen y controlan el
procesamiento de tareas puntuales que permiten comprender los problemas para los que están diseñados los S.I. , .
Recurso humano o usuario, que en últimas es la persona que interactúa con el sistema de información, es el
encargado de alimentarlo con datos relevantes y actualizados, para gestionarlos y, a su vez es quien manipula, utiliza
los informes y resultados generados.
Procedimientos, que son ejecutados sobre los datos para producir diferentes tipos de resultados, forman parte
importante del software del sistema de información y su objetivo consiste en que las entradas sean procesadas
correctamente para generar resultados esperados, a la luz de satisfacer las necesidades existentes y soluciones
enfocadas la gestión de información basada en las tecnologías de información.

Objetivos de seguridad de la información. De acuerdo con (Freitas p. 43. 2014), los

principales objetivos que proporciona la salvaguarda de la información a una organización

son:

Cumplir con los requisitos regulatorios, legales y contractuales del negocio frente al

manejo seguro de la información.

 Asegurar la formación del personal en materia de seguridad de la información.

Identificar, clasificar y conservar los activos de información críticos producto del análisis

de riesgos realizados a la organización bajo estándares de clasificación definidos y

conforme a los criterios establecidos por los entes de certificación. Identificar

periódicamente riesgos asociados a seguridad de la información y adoptar medidas de

protección.

 Gestionar adecuadamente los incidentes de seguridad garantizando confidencialidad,

integridad y disponibilidad de la información. Monitorear y mejorar continuamente

disposiciones y controles internos que permitan ampliar los controles respecto a la

seguridad.

 Ampliar las oportunidades de negocio al garantizar la seguridad de la información.

en todos los procesos, (Vidalina, 2014).

 58
Políticas de seguridad de la información. Si bien es cierto que la seguridad es vital

para el normal funcionamiento de una entidad, también se debe reconocer el elevado costo

que esta representa, es por ello que la formulación de la política se obtiene luego de un

riguroso análisis de cada riesgo asociado a los activos, proceso comúnmente conocido

como gestión del riesgo, con el cual los oficiales de seguridad documentan una política

cuantificable y que en términos presupuestales se encuentre alineada a la estrategia de la

organización.

Se define política de seguridad como "una declaración de intenciones de alto nivel que

cubre la seguridad de los sistemas informáticos y que proporciona las bases para definir y

delimitar responsabilidades para las diversas actuaciones técnicas y organizativas que se

requerirán." (Holbrook, Paul; Reynolds, 2013). A esta definición se adhieren elementos

importantísimos para el funcionamiento de un sistema de gestión de seguridad de la

información, ya que demuestra el papel vital que juegan los niveles de la dirección respecto

a decisiones tomadas para la implementación, monitoreo y control sobre los activos de

información; para ello la política debe contener: seguridad frente al personal, adquisición

de productos, seguridad física de las instalaciones, sistemas de protección eléctrica, control

de nivel de emisiones electromagnéticas, vigilancia de la red y de los elementos de

conectividad, protección en el acceso y configuración de los servidores, copias de

seguridad, borrado de información.

La norma NTC-ISO/IEC 27002: 2007, enuncia “toda intención y directriz expresada

formalmente por la Dirección”. Como el conjunto de políticas tanto generales como

específicas que tienen como propósito que los empleados en sus diversas modalidades

busquen proteger la información de amenazas internas y externas, a fin de garantizar la

 59
confidencialidad, integridad y disponibilidad de los activos de información, así como

productos y servicios institucionales, minimizar o eliminar los riesgos de pérdida, daño,

hurto, uso inadecuado o fuga de información y asegurar el eficiente cumplimiento de

objetivos estratégicos de una entidad que adopte este sistema. En tal sentido, las políticas

de seguridad son diseñadas como herramienta organizacional para determinar directrices,

lineamientos y recomendaciones orientadas al adecuado uso de las tecnologías de

información para obtener su mayor provecho y evitar el uso indebido de las mismas;

expresado de la siguiente forma: "una política de seguridad es un conjunto de requisitos

definidos por los responsables de un sistema, que indica en términos generales que está y

que no está permitido en el área de seguridad durante la operación general del sistema."

(Villalón Huerta, Antonio, 2013, p. 90). (Graciela, 2014).

La política delimita todo el espectro de seguridad referido a plataformas y

procedimientos para ejercer control sobre las vulnerabilidades detectadas. De acuerdo con

lo anterior, establecer una política requiere estudiar rigurosamente las debilidades y fallas

del sistema para actualización constantemente que atienda el dinámico contexto de la

organización moderna, por tanto, debe ser una política ajustada a la realidad de la empresa,

con una redacción en términos entendibles para el personal y que la política se pueda

cumplir y medir. Expresado así “la política se refleja en una serie de normas, reglamentos y

protocolos a seguir, donde se definen las medidas a tomar para proteger la seguridad del

sistema; pero ante todo una política de seguridad es una forma de comunicarse con los

usuarios. Siempre hay que tener en cuenta que la seguridad comienza y termina con

personas. (Spafford, 2013). (Graciela, 2014)

 60
Etapas en el desarrollo de una política de seguridad

Figura No 4. Pirámide documental de una política de seguridad

Fuente. Poveda Julio Alejandro, (2011). Universidad de La Salle. Bogotá,

La Universidad Nacional de Colombia, propone el siguiente modelo para la elaboración

de la política de seguridad:

 Fase de desarrollo: creación, revisión y aprobación, esta fase consiste en realizar la

planificación junto con la investigación del por qué se requiere, su objetivo y alcance

para la redacción del documento, para su posterior revisión y aprobación por la

dirección.

 Fase de implementación: comunicación, cumplimiento y excepciones, en

esta etapa la política es divulgada a la organización para implementarla; sin embargo

por temas de operación es necesario revisar aquellas situaciones por las cuales la
 61
política no puede ser cumplida, es decir las excepciones a las cuales debe realizarse

seguimiento y evaluación.

 Fase de mantenimiento: concienciación, monitoreo, garantía de

cumplimiento y mantenimiento, en esta etapa se evidencian la unión de esfuerzos en

pro del conocimiento, seguimiento, reportes de cumplimiento, la vigencia y

actualización de la política mediante el control de las versiones.

 Fase de eliminación: hace referencia al ciclo de vida de la política, es

decir, cuando es necesario prescindir de esta por agentes inherentes a la organización

como reemplazos u otros asociados, aquí cabe decir que se debe documentar la

decisión, así como sus responsables.

El desarrollo de la política contempla cada uno de estos pasos para garantizar su

cumplimiento, así mismo estas fases no son estáticas, es inevitable realizar un proceso

cíclico para su medición y ejecución. (Graciela, 2014)

Figura No 5. Fases de la creación de políticas

Fuente. https://es.slideshare.net/yarishred/politicas-de-seguridad-restriciones
 62
Concepto de riesgo. Cualquier sistema de información se encuentra expuesto a diversas

amenazas y más aún cuando la interoperabilidad de las redes es más frecuente, la consulta

eficiente de la información marca cada vez más la diferencia en una sociedad altamente

competitiva y en donde las organizaciones no dan tregua. Para ofrecer servicios de calidad

es vital la información; no obstante gracias al avance de las tecnologías de la información y

la comunicación, la forma de gestionarla cambia. Al llegar a este punto surge una duda qué

es el riesgo: “el proceso que se encarga de identificar y cuantificar la probabilidad de que

se produzcan amenazas y de establecer un nivel aceptable de riesgo para la organización,

considerando el impacto potencial de un incidente no deseado.”. (Areitio Javier, 2012).

(Graciela, 2014)

Medición del riesgo

Por lo general el riesgo se puede representar mediante la siguiente fórmula:

Riesgo: Probabilidad de ocurrencia * Magnitud de impacto.

 63
Figura No 6. Elementos que interactúan en la identificación del riesgo.

Fuente. Graciela, Trujillo Diana, (2014). Gestión del riesgo en seguridad de la información
Descripción. Proceso. Conjunto de actividades que se realizan en secuencia para la consecución de un objetivo.
Esta dado a partir de las características propias de cada institución y puede variar de acuerdo a sus necesidades
específicas y al core 2 del negocio; es importante que los procesos se encuentren definidos para establecer la toma
de decisiones y en general identificar las entradas existentes en la organización, su desarrollo y luego la obtención de
resultados, tal cual lo define la Norma Técnica Colombiana "conjunto de actividades mutuamente relacionadas o que
interactúan, las cuales transforman elementos de entrada en resultados.". (Graciela, 2014)
Amenazas Es la materialización del riesgo, sucede cuando aún conociendo el riesgo no se han tomado las
acciones suficientes para evitarlo. Esta es la última instancia a la que debe llegar la organización y el fin de esta
tesis, asegurar, o por lo menos minimizar la probabilidad de que una amenaza se efectúe; cuando esta sucede el daño
es bastante considerable, el ataque o la intrusión se ha realizado con éxito y ahora la información se encuentra
expuesta.
Activo Es todo aquello que adquiere valor para la organización, aquellos recursos propios del sistema
informativo o aquellos que se relacionan de alguna manera con este, y que permite la dinámica eficiente de la
gestión de la organización y por ende de la información que procesa, por esto se identifican varios niveles de activos
distribuidos jerárquicamente estableciendo una cadena que ofrece valor al correcto funcionamiento de los procesos
que ejecuta la institución. De acuerdo con Mc Connell, los activos están dados de la siguiente manera, guardando
un orden lógico de acuerdo a lo que representa cada uno así:

2 Entendido como el conjunto de actividades que realiza una empresa para generar valor y ventaja competitiva en el
mercado, lo cual la caracteriza y diferencia de las otras.
 64
Activo Informático. En seguridad de la información, seguridad informática y

seguridad de red un Activo es cualquier dato, dispositivo u otro componente del entorno

que apoya actividades relacionadas con la información. Los activos incluyen generalmente

hardware (servidores y switches), software (por ejemplo, aplicaciones de misión crítica y

sistemas de apoyo) e información confidencial. Los activos deben ser protegidos de acceso

ilícito, uso, revelación, alteración, destrucción o robo, resultando en pérdida de la

organización.

La tríada CIA. El objetivo de seguridad de la información es asegurar la

Confidencialidad, Integridad y Disponibilidad de de activos de varios amenazas. Por

ejemplo, un Hacker podría ataque un sistema para robar números de tarjetas de crédito por

explotando un vulnerabilidad. Expertos de seguridad de información deben evaluar el

posible impacto de un ataque y emplear adecuados contramedidas. En este caso podría

poner un cortafuegos y cifrar sus números de tarjeta de crédito.

Figura No 7. La tríada CIA

Fuente. https://b-one-informatica.blogspot.com.co/2016/02/la-triada-cid-seguridad-informatica.html

Descripción.
Confidencialidad. La confidencialidad es la propiedad que impide la divulgación de información a personas o
sistemas no autorizados. A grandes rasgos, asegura el acceso a la información únicamente a aquellas personas que
cuenten con la debida autorización.
 65
Por ejemplo, una transacción de tarjeta de crédito en Internet requiere que el número de tarjeta de crédito a ser
transmitida desde el comprador al comerciante y el comerciante de a una red de procesamiento de transacciones. El
sistema intenta hacer valer la confidencialidad mediante el cifrado del número de la tarjeta y los datos que contiene
la banda magnética durante la transmisión de los mismos. Si una parte no autorizada obtiene el número de la tarjeta
en modo alguno, se ha producido una violación de la confidencialidad.
La pérdida de la confidencialidad de la información puede adoptar muchas formas. Cuando alguien mira por
encima de su hombro, mientras usted tiene información confidencial en la pantalla, cuando se publica información
privada, cuando un laptop con información sensible sobre una empresa es robado, cuando se divulga información
confidencial a través del teléfono, etc. Todos estos casos pueden constituir una violación de la confidencialidad.
Integridad. Es la propiedad que busca mantener los datos libres de modificaciones no autorizadas. (No es igual
a integridad referencial en bases de datos.) A groso modo, la integridad es el mantener con exactitud la información
tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados.
La violación de integridad se presenta cuando un empleado, programa o proceso (por accidente o con mala
intención) modifica o borra los datos importantes que son parte de la información, así mismo hace que su contenido
permanezca inalterado a menos que sea modificado por personal autorizado, y esta modificación sea registrada,
asegurando su precisión y confiabilidad. La integridad de un mensaje se obtiene adjuntándole otro conjunto de datos
de comprobación de la integridad: la firma digital Es uno de los pilares fundamentales de la seguridad de la
información.
Disponibilidad. La disponibilidad es la característica, cualidad o condición de la información de encontrarse a
disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. A groso modo, la
disponibilidad es el acceso a la información y a los sistemas por personas autorizadas en el momento que así lo
requieran.
En el caso de los sistemas informáticos utilizados para almacenar y procesar la información, los controles de
seguridad utilizados para protegerlo, y los canales de comunicación protegidos que se utilizan para acceder a ella
deben estar funcionando correctamente. La Alta disponibilidad sistemas objetivo debe estar disponible en todo
momento, evitando interrupciones del servicio debido a cortes de energía, fallos de hardware, y actualizaciones del
sistema.
Garantizar la disponibilidad implica también la prevención de ataque de denegación de servicio. Para poder
manejar con mayor facilidad la seguridad de la información, las empresas o negocios se pueden ayudar con un
sistema de gestión que permita conocer, administrar y minimizar los posibles riesgos que atenten contra la seguridad
de la información del negocio.
La disponibilidad además de ser importante en el proceso de seguridad de la información, es además variada en
el sentido de que existen varios mecanismos para cumplir con los niveles de servicio que se requiera. Tales
mecanismos se implementan en infraestructura tecnológica, servidores de correo electrónico, de bases de datos, de
web etc, mediante el uso de clusters o arreglos de discos, equipos en alta disponibilidad a nivel de red, servidores
espejo, replicación de datos, redes de almacenamiento (SAN), enlaces redundantes, etc. La gama de posibilidades
dependerá de lo que queremos proteger y el nivel de servicio que se quiera proporcionar. ( B-One Informatics, 2015)
La Triada CID Seguridad informática. 2015. B-One Informatics,
http://copro.com.ar/Activo_(seguridad_informatica).html
 66
Tabla 2. Clasificación de activos de información

Fuente. Graciela, Trujillo Diana, (2014). Gestión del riesgo en seguridad de la información

Matriz de Riesgos. Una matriz de riesgos es una sencilla pero eficaz herramienta para

identificar los riesgos más significativos inherentes a las actividades de una empresa, tanto de

procesos como de fabricación de productos o puesta en marcha de servicios. Por lo tanto, es un

instrumento válido para mejorar el control de riesgos y la seguridad de una organización (Peña,

2015).

Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Amenazas y Vulnerabilidades

Amenazas, es la posibilidad de ocurrencia de cualquier tipo de evento o acción que puede

producir un daño (material o inmaterial) sobre los elementos de un sistema, en el caso de la

Seguridad Informática, los elementos de información. Debido a que la seguridad informática

tiene como propósitos de garantizar la confidencialidad, integridad, disponibilidad y de los datos

e informaciones, las amenazas y los consecuentes daños que puede causar un evento exitoso,

también hay que ver en relación con la confidencialidad, integridad, disponibilidad y

autenticidad de los datos e informaciones. (Protejete wordpress, 2011)

 67
Figura No 8. Amenazas

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Desde el punto de vista de la entidad que maneja los datos, existen amenazas de origen externo como por
ejemplo las agresiones técnicas, naturales o humanos, sino también amenazas de origen interno, como la negligencia
del propio personal o las condiciones técnicas, procesos operativos internos (Nota: existen conceptos que defienden
la opinión que amenazas siempre tienen carácter externo)
Generalmente se distingue y divide tres grupos

 Criminalidad: son todas las acciones, causado por la intervención humana, que

violan la ley y que están penadas por esta. Con criminalidad política se entiende todas las

acciones dirigido desde el gobierno hacia la sociedad civil.

 Sucesos de origen físico: son todos los eventos naturales y técnicos, sino también

eventos indirectamente causados por la intervención humana.

 Negligencia y decisiones institucionales: son todas las acciones, decisiones u

omisiones por parte de las personas que tienen poder e influencia sobre el sistema. Al

mismo tiempo son las amenazas menos predecibles porque están directamente relacionado

con el comportamiento humano.

 68
Existen amenazas que difícilmente se dejan eliminar (virus de computadora) y por eso

es la tarea de la gestión de riesgo de preverlas, implementar medidas de protección para

evitar o minimizar los daños en caso de que se realice una amenaza.

Para mostrar algunas de las amenazas más preocupantes, consultamos dos estadísticas,

el primer grafo sale de la “Encuesta sobre Seguridad y Crimen de Computación 2008” del

Instituto de Seguridad de Computación (CSI por sus siglas en inglés) que base en 433

respuestas de diferentes entidades privadas y estatales en los EE.UU. (Protejete wordpress,

2011)

Figura No 9. Amenazas más importantes según CSI

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
El segundo tiene su origen en una encuesta que se hizo en el año 2007, con 34 organizaciones sociales a
nivel centroamericano
 69
Figura No 10. Porcentaje por tipo de impacto

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción. Ambas figuras, muestran el porcentaje de todos los encuestados que sufrieron ese tipo de ataque.
Como se observa, existen algunas similitudes respecto a las amenazas más preocupantes
 Ataques de virus (>50%)
 Robo de celulares, portátiles y otros equipos (>40%)
 Pero también existen otras amenazas que, aunque no aparezcan en ambas encuestas, son muy alarmantes y
que se debe tomar en consideración
 Falta de respaldo de datos
 Perdida de información por rotación, salida de personal
 Abuso de conocimientos internos (no consultado en encuesta de organizaciones sociales)
 Mal manejo de equipos y programas
 Acceso non-autorizado
 70
Figura No 11. Vulnerabilidades

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
La Vulnerabilidad, es la capacidad, las condiciones y características del sistema mismo (incluyendo la

entidad que lo maneja), que lo hace susceptible a amenazas, con el resultado de sufrir algún daño. En otras

palabras, es la capacitad y posibilidad de un sistema de responder o reaccionar a una amenaza o de

recuperarse de un daño.

Las vulnerabilidades están en directa interrelación con las amenazas porque si no existe una amenaza,

tampoco existe la vulnerabilidad o no tiene importancia, porque no se puede ocasionar un daño.

Dependiendo del contexto de la institución, se puede agrupar las vulnerabilidades en grupos

característicos: Ambiental, Física, Económica, Social, Educativo, Institucional y Política. (Protejete

wordpress, 2011)

Análisis de riesgo. El primer paso en la Gestión de riesgo es el análisis de riesgo que tiene como

propósito determinar los componentes de un sistema que requieren protección, sus vulnerabilidades que los

debilitan y las amenazas que lo ponen en peligro, con el fin de valorar su grado de riesgo.
 71
Figura No 12. Clasificación y flujo de información

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Clasificación y flujo de información. La clasificación de datos tiene el propósito de garantizar la

protección de datos (personales) y significa definir, dependiendo del tipo o grupo de personas internas y

externas, los diferentes niveles de autorización de acceso a los datos e informaciones. Considerando el

contexto de nuestra misión institucional, tenemos que definir los niveles de clasificación como por ejemplo:

confidencial, privado, sensitivo y público. Cada nivel define por lo menos el tipo de persona que tiene

derecho de acceder a los datos, el grado y mecanismo de autenticación.

Una vez clasificada la información, tenemos que verificar los diferentes flujos existentes de información

internos y externos, para saber quiénes tienen acceso a qué información y datos.

Clasificar los datos y analizar el flujo de la información a nivel interno y externo es importante, porque

ambas cosas influyen directamente en el resultado del análisis de riesgo y las consecuentes medidas de

protección. Porque solo si sabemos quienes tienen acceso a qué datos y su respectiva clasificación, podemos

determinar el riesgo de los datos, al sufrir un daño causado por un acceso no autorizado. (Protejete

wordpress, 2011)
 72
Figura No 13. Análisis de Riesgo

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Análisis de Riesgo. Existen varios métodos de como valorar un riesgo y al final, todos tienen los mismos

retos -las variables son difíciles de precisar y en su mayoría son estimaciones- y llegan casi a los mismos

resultados y conclusiones.

En el ámbito de la Seguridad Informática, el método más usado es el Análisis de Riesgo.

La valoración del riesgo basada en la fórmula matemática

Riesgo = Probabilidad de Amenaza x Magnitud de Daño

Para la presentación del resultado (riesgo) se usa una gráfica de dos dimensiones, en la cual, el eje-x

(horizontal, abscisa) representa la “Probabilidad de Amenaza” y el eje-y (vertical, ordenada) la “Magnitud de

Daño”. La Probabilidad de Amenaza y Magnitud de Daño pueden tomar condiciones entre Insignificante (1)

y Alta (4). En la práctica no es necesario asociar valores aritméticos a las condiciones de las variables, sin

embargo facilita el uso de herramientas técnicas como hojas de cálculo.

Nota: La escala (4 condiciones) de la Probabilidad de Amenaza y Magnitud de Daño no es fijo y puede

ser adaptada y afinada a las necesidades propias. En diferentes literaturas, particularmente la Probabilidad de

Amenaza puede tomar hasta seis diferentes condiciones.

 73
El reto en la aplicación del método es precisar o estimar las condiciones (valores) de las dos variables,

porque no basen en parámetros claramente medibles. Sin embargo, el análisis de riesgo nos permite ubicar el

riesgo y conocer los factores que influyen, negativa- o positivamente, en el riesgo.

En el proceso de analizar un riesgo también es importante de reconocer que cada riesgo tiene sus

características:

 Dinámico y cambiante (Interacción de Amenazas y Vulnerabilidad)

 Diferenciado y tiene diferentes caracteres (caracteres de Vulnerabilidad)

 No siempre es percibido de igual manera entre los miembros de una institución que Tal vez puede

terminar en resultados inadecuados y por tanto es importante que participan las personas especialistas de los

diferentes elementos del sistema (Coordinación, Administración financiera, Técnicos, Conserje, Soporte

técnico externo etc.)

El modelo se pude aplicar a los diferentes elementos de manera aislada, sino también al sistema completo,

aunque en el primer caso, el resultado final será más preciso pero también requiere más esfuerzo. Entre más

alta la Probabilidad de Amenaza y Magnitud de Daño, más grande es el riesgo y el peligro al sistema, lo que

significa que es necesario implementar medidas de protección. (Protejete wordpress, 2011)

 74
Probabilidad de Amenaza

Figura No 14. Probabilidad de Amenaza

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Se habla de un Ataque, cuando una amenaza se convirtió en realidad, es decir cuando un evento se

realizó. Pero el ataque no dice nada sobre el éxito del evento y sí o no, los datos e informaciones fueron

perjudicado respecto a su confidencialidad, integridad, disponibilidad y autenticidad.

Para estimar la Probabilidad de Amenaza nos podemos hacer algunas preguntas

 ¿Cuál es el interés o la atracción por parte de individuos externos, de atacarnos? Algunas razones

pueden ser que manejamos información que contiene novedades o inventos, información comprometedora

etc, talvez tenemos competidores en el trabajo, negocio o simplemente por el imagen o posición pública que

tenemos.

 ¿Cuáles son nuestras vulnerabilidades? Es importante considerar todos los grupos de

vulnerabilidades. También se recomienda incluir los expertos, especialistas de las diferentes áreas de trabajo

para obtener una imagen más completa y más detallada sobre la situación interna y el entorno.

 ¿Cuántas veces ya han tratado de atacarnos? Ataques pasados nos sirven para identificar una

amenaza y si su ocurrencia es frecuente, más grande es la probabilidad que pasará otra vez. En el caso de que

ya tenemos implementadas medidas de protección es importante llevar un registro, que muestra los casos
 75
cuando la medida se aplico exitosamente y cuando no. Porque de tal manera, sabemos en primer lugar si

todavía existe la amenaza y segundo, cuál es su riesgo actual.

Considerando todos los puntos anteriores, nos permite clasificar la Probabilidad de Amenaza. Sin

embargo, antes tenemos que definir el significado de cada condición de la probabilidad (Baja, Mediana,

Alta). Las definiciones mostradas en la imagen anterior solo son un ejemplo aproximado, pero no

necesariamente refleja la realidad y la opinión común y por tanto se recomienda que cada institución defina

sus propias condiciones. (Protejete wordpress, 2011)

 76
Figura No 15. Magnitud de Daño

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Magnitud de Daño. Se habla de un impacto, cuando un ataque exitoso perjudicó la

confidencialidad, integridad, disponibilidad y autenticidad de los datos e informaciones.

Figura No 16. Estimar la magnitud de daño

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Estimar la Magnitud de Daño generalmente es una tarea muy compleja. La manera más fácil es expresar el
daño de manera cualitativa, lo que significa que aparte del daño económico, también se considera otros
valores como daños materiales, imagen, emocionales, entre otros. Expresarlo de manera cuantitativa, es decir
 77
calcular todos los componentes en un solo daño económico, resulta en un ejercicio aun más complejo y
extenso.
Aunque conozcamos bien el impacto de un ataque exitoso, sus consecuencias pueden ser múltiples, a
veces son imprevisibles y dependen mucho del contexto donde manejamos la información, sea en una ONG
(derechos humanos, centro de información etc.), en una empresa privada (banco, clínica, producción etc.), en
una institución Estatal o en el ámbito privado. Otro factor decisivo, respecto a las consecuencias, es también
el entorno donde nos ubicamos, es decir cuáles son las leyes y prácticas comunes, culturales que se aplica
para sancionar el incumplimiento de las normas.
Un punto muy esencial en el análisis de las consecuencias es la diferenciación entre los dos propósitos de
protección de la seguridad informática, la seguridad de la información y la protección de datos, porque nos
permite determinar, quien va a sufrir el daño de un impacto, nosotros, otros o ambos. En todo caso, todos
nuestros comportamientos y decisiones deben ser dirigidos por una conciencia responsable, de no causar daño
a otros, aunque su realidad no tenga consecuencias negativas.
Otras preguntas que podemos hacernos para identificar posibles consecuencias negativas causadas por un
impacto son:

 ¿Existen condiciones de incumplimiento de confidencialidad (interna y externa)?

Esto normalmente es el caso cuando personas no son autorizadas tienen acceso a

información y conocimiento ajeno que pondrá en peligro nuestra misión.

 ¿Existen condiciones de incumplimiento de obligación jurídicas, contratos y

convenios? No cumplir con las normas legales fácilmente puede culminar en sanciones

penales o económicas, que perjudican nuestra misión, existencia laboral y personal.

 ¿Cuál es el costo de recuperación? No solo hay que considerar los recursos

económicos, tiempo, materiales, sino también el posible daño de la imagen pública y

emocional.

Considerando todos los aspectos mencionados, nos permite clasificar la Magnitud del

Daño. Sin embargo, otra vez tenemos que definir primero el significado de cada nivel de

daño (Baja, Mediana, Alta). Las definiciones mostradas en la imagen anterior solo son un

ejemplo aproximado, pero no necesariamente refleja la realidad y la opinión común y por

tanto se recomienda que cada institución defina sus propios niveles. (Protejete wordpress,

2011)
 78
Matriz de análisis de riesgo, sus fundamentos. La Matriz la basé en el método de

Análisis de Riesgo con un grafico de riesgo, usando la formula Riesgo = Probabilidad de

Amenaza x Magnitud de Daño

La Probabilidad de Amenaza y Magnitud de Daño pueden tomar los valores y

condiciones respectivamente

1 = Insignificante (incluido Ninguna)

2 = Baja

3 = Mediana

4 = Alta

Figura No 17. Matriz de análisis de riesgo

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
El Riesgo, que es el producto de la multiplicación Probabilidad de Amenaza por Magnitud de Daño, está

agrupado en tres rangos, y para su mejor visualización, se aplica diferentes colores.

 Bajo Riesgo = 1 – 6 (verde)

 Medio Riesgo = 8 – 9 (amarillo)

 Alto Riesgo = 12 – 16 (rojo)

 79
La Matriz contiene una colección de diferentes Amenazas (campos verdes) y elementos de información

(campos rojos). Para llenar la matriz, tenemos que estimar los valores de la Probabilidad de Amenaza

(campos azules) por cada amenaza y la magnitud de daño (campos amarillas) por cada elemento de

información. (Protejete wordpress, 2011)

Figura No 18. Formato matriz de análisis de riesgo

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Para la estimación de la Probabilidad de amenazas, se trabaja con un valor generalizado, que (solamente)

está relacionado con el recurso más vulnerable de los elementos de información, sin embargo usado para

todos los elementos. Si por ejemplo existe una gran probabilidad de que nos pueden robar documentos y

equipos en la oficina, porque ya entraron varias veces y no contamos todavía con una buena vigilancia

nocturna de la oficina, no se distingue en este momento entre la probabilidad si robarán una portátil, que está

en la oficina (con gran probabilidad se van a llevarla), o si robarán un documento que está encerrado en una

caja fuerte escondido (es menos probable que se van a llevar este documento).

Este proceder obviamente introduce algunos resultados falsos respecto al grado de riesgo (algunos riesgos

saldrán demasiado altos), algo que posteriormente tendremos que corregirlo. Sin embargo, excluir algunos

resultados falsos todavía es mucho más rápido y barato, que hacer un análisis de riesgo detallado, sobre todo

cuando el enfoque solo es combatir los riesgos más graves, ambos variables y visualiza el grado de riesgo.

(Protejete wordpress, 2011)

 80
Figura No 19. Ejemplo matriz de análisis de riesgo con datos

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Dependiendo del color de cada celda, podemos sacar conclusiones no solo sobre el nivel de riesgo que
corre cada elemento de información de sufrir un daño significativo, causado por una amenaza, sino también
sobre las medidas de protección necesarias
 Proteger los datos de RR.HH, Finanzas contra virus
 Proteger los datos de Finanzas y el Coordinador contra robo
 Evitar que se compartan las contraseñas de los portátiles
También, como se mencionó anteriormente, existen combinaciones que no necesariamente tienen mucho
sentido y por tanto no se las considera para definir medidas de protección
 Proteger el Personal (Coordinador y Personal técnico) contra Virus de computación
 Evitar la falta de corriente para el Coordinador. (Protejete wordpress, 2011)

Reducción de riesgo

La reducción de riesgo se logra a través de la implementación de Medidas de

protección, que basen en los resultados del análisis y de la clasificación de riesgo.

 81
Figura No 20. Reducción de Riesgo

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
Las medidas de protección están divididas en medidas físicas y técnicas, personales y organizativas.
En referencia al Análisis de riesgo, el propósito de las medidas de protección, en el ámbito de la Seguridad
Informática, solo tienen un efecto sobre los componentes de la Probabilidad de Amenaza, es decir aumentan
nuestra capacidad física, técnica, personal y organizativa, reduciendo así nuestras vulnerabilidades que están
expuestas a las amenazas que enfrentamos. Las medidas normalmente no tienen ningún efecto sobre la
Magnitud de Daño, que depende de los Elementos de Información y del contexto, entorno donde nos
ubicamos. Es decir, no se trata y muy difícilmente se puede cambiar el valor o la importancia que tienen los
datos e informaciones para nosotros, tampoco vamos a cambiar el contexto, ni el entorno de nuestra misión.
(Protejete wordpress, 2011)
 82

Fuente. Protejete Wordpress. (2011). Gestión de Riesgo en la Seguridad Informática.

Descripción.
La fuerza y el alcance de las medidas de protección, dependen del nivel de riesgo

 Alto riesgo: Medidas deben evitar el impacto y daño.

 Medio riesgo: Medidas solo mitigan la magnitud de daño pero no evitan el impacto.

Considerando que la implementación de medidas de protección están en directa relación con inversiones

de recursos económicos y procesos operativos, es más que obvio, que las medidas, para evitar un daño,

resultarán (mucho) más costosas y complejas, que las que solo mitigan un daño.

Para que las medias sean exitosas, es esencial que siempre verificamos su factibilidad, es decir que

técnicamente funcionan y cumplen su propósito, que están incorporadas en los procesos operativos

institucionales y que las personas se apropian de estás. Es indispensable que están respaldadas, aprobadas por

aplicadas por la coordinación, porque sino, pierden su credibilidad. También significa que deben ser

diseñadas de tal manera, que no paralizan o obstaculizan los procesos operativos porque deben apoyar el

cumplimiento de nuestra misión, no impedirlo.

Otro punto clave es, que las personas que deben aplicar y apropiarse de las medias saben

sobre su existencia, propósito e importancia y son capacitadas adecuadamente en su uso, de

tal manera, que las ven como una necesidad institucional y no como otro cortapisa laboral.
 83
Debido a que la implementación de las medidas no es una tarea aislada, única, sino un

proceso continuo, su manejo y mantenimiento debe estar integrado en el funcionamiento

operativo institucional, respaldado por normas y reglas que regulan su aplicación, control y

las sanciones en caso de incumplimiento. (Protejete wordpress, 2011)

Control de Riesgo. El propósito del control de riesgo es analizar el funcionamiento, la

efectividad y el cumplimiento de las medidas de protección, para determinar y ajustar sus

deficiencias.

Las actividades del proceso, tienen que estar integradas en el plan operativo

institucional, donde se define los momentos de las intervenciones y los responsables de

ejecución.

Medir el cumplimiento y la efectividad de las medidas de protección requiere que

levantemos constantemente registros sobre la ejecución de las actividades, los eventos de

ataques y sus respectivos resultados. Estos tenemos que analizados frecuentemente.

Dependiendo de la gravedad, el incumplimiento y el sobrepasar de las normas y reglas,

requieren sanciones institucionales para los funcionarios.

En el proceso continuo de la Gestión de riesgo, las conclusiones que salen como

resultado del control de riesgo, nos sirven como fuente de información, cuando se entra otra

vez en el proceso de la Análisis de riesgo. (Protejete wordpress, 2011)

4.2.2. ANSI

(American NationalStandardsInstitute - Instituto Nacional Americano de Estándares).

ASNI es una organización encargada de estandarizar ciertas tecnologías en EEUU. Es

miembro fundador de la ISO, que es la organización internacional para la estandarización.

 84
Y tiene representantes en la IEC (International ElectrotechnicalCommission) a través del

U.S. NationalCommittee (USNC). La organización tiene su sede en Washington, DC., y su

oficina de operaciones está localizada en la ciudad de Nueva York.

Breve historia de ANSI

* Fue formada el 14 de mayo de 1918.

* Su primer nombre fue American EngineeringStandardsCommittee (AESC).

* Fue llamada American StandardsAssociation (ASA) en 1928.

* Luego UnitedStates of AmericaStandardsInstitute (USASI) en 1966.

* Obtuvo su nombre actual en 1969.

* Tiene como miembros a 125000 compañías y 3,5 millones de profesionales (2016).

Funcionamiento de ANSI. En sí misma ANSI no desarrolla estándares, el instituto

supervisa el desarrollo y uso de estándares mediante la acreditación de los procedimientos

del desarrollo de estándares de las organizaciones.

Una acreditación de ANSI significa que los procedimientos usados por las

organizaciones en el desarrollo de estándares cumplen con los requerimientos de apertura,

equilibrio, consenso y debido proceso.

ANSI también designa estándares específicos como American NationalStandards (ANS

o normal nacionales estadounidenses), cuando el instituto determina que los estándares

fueron desarrollados en un ambiente que es equitativo, accesible y sensible a las

necesidades de las diversas partes interesadas. Estándares de consenso voluntario aceleran

la aceptación de los productos y dejan claro cómo mejorar la seguridad de los mismos para

la protección de los consumidores. Hay aproximadamente 9.500 ANS que llevan la

designación ANSI (Alegsa, ALEGSA.COM.AR, 2016)

 85
4.3. Marco legal

4.3.1. Derechos de Autor

 Con la expedición y vigencia del Decreto Reglamentario Único del Sector Interior, No.

1066 del 26 de mayo de 2015 (artículos 1.2.1.3, 2.6.1.1.1 y siguientes) expedido por el

señor Presidente de la República, fueron compiladas en el mismo, en lo que a la

Dirección Nacional de Derecho de Autor se refiere, los Decretos Reglamentarios 1360

de 1989, 460 de 1995, 3942 de 2010 y 1258 de 2012, los cuales, a partir de la vigencia

de dicho Decreto Reglamentario Único, quedaron derogados.

 El Decreto Reglamentario Único del Sector Interior No. 1066 de 2015, compiló los

Decretos Reglamentarios números 1360 de 1989 y 460 de 1995 (Inscripción de soporte

lógico (software) y el Registro Nacional del Derecho de Autor, respectivamente), 3942

de 2010 y 1258 de 2012 (Gestión Colectiva del Derecho de Autor y facultades de

Inspección, Vigilancia y Control de la Dirección Nacional de Derecho de Autor,

respectivamente).

 Con esta compilación, quedaron derogados los decretos reglamentarios 1360 de 1989,

460 de 1995, 3942 de 2010 y 1258 de 2012.

 En consecuencia, a partir del día 26 de mayo de 2015, los trámites relacionados con el

Registro de Derecho de Autor, como las actuaciones a cargo de la DNDA en ejercicio

de sus facultades legales de inspección, vigilancia y control sobre las sociedades de

gestión colectiva, se adelantarán con fundamento en lo dispuesto por el Decreto

Reglamentario Único No. 1066 de 2015, de este compilado normativo (Mininterior,

2016).
 86
4.3.2. Ley 23 de 1982, ley de derechos de autor

Es la ley de derechos de autor que contempla los derechos morales y patrimoniales del

software considera por vez primera al software ("soporte lógico") como una creación propia del

dominio literario. Posteriormente, mediante el Decreto Presidencial número 1360 del 23 de junio

de 1989, se reglamenta la inscripción del soporte lógico (software) en el Registro Nacional de

Derecho de Autor. En este decreto queda escrito en forma explícita: "El soporte lógico (software)

comprende uno o varios de los siguientes elementos: el programa de computador, la descripción

de programa y el material auxiliar". (Ley 23 de 1982, 1982)

4.3.3. Ley 44 1993 se modifica el Acto de Derechos de Autor de 1982

Se modifica el Acto de Derechos de Autor de 1982; adicionalmente, el respaldo legal a los

autores de software fue ratificado y detallado en 1993, por la comisión del Acuerdo de Cartagena

mediante la Decisión 351, concerniente a régimen común sobre derecho de autor y derechos

conexos. La legislación colombiana en forma explícita establece sanciones de "prisión de dos (2)

a cinco (5) años y multa de cinco (5) a veinte (20) salarios mínimos mensuales" para quien

"reproduzca fonogramas, videogramas, soporte lógico (software) u obras cinematográficas sin

autorización previa y expresa del titular, o transporte, almacene, conserve, distribuya, importe,

venda, ofrezca, adquiera para la venta o distribución o suministre a cualquier título dichas

reproducciones". ( Ley 44 1993, 1993)

4.3.4. Ministerio del TIC

Desde el 30 de julio de 2009, fecha en la que el expresidente de la República Álvaro

Uribe Vélez sancionó la Ley 1341, el entonces Ministerio de Comunicaciones se convirtió

en Ministerio de Tecnologías de la Información y las Comunicaciones. La nueva Ley creó

un marco normativo para el desarrollo del sector y para la promoción del acceso y uso de
 87
las TIC a través de la masificación, el impulso a la libre competencia, el uso eficiente de la

infraestructura y, en especial, el fortalecimiento de la protección de los derechos de los

usuarios (Mintic, Mintic, 2017).

Las Tecnologías de la Información (TI): que buscan gestionar estratégicamente los

sistemas de información a través de su diseño, soporte y mejoramiento para apoyar la

gestión de los procesos y soportar el flujo de la información que circula por las

dependencias en términos de accesibilidad, disponibilidad, seguridad, confiabilidad y

generación de conocimiento. Su implementación en el Ministerio TIC permite promover su

utilización como una pieza clave para el mejoramiento continuo, la innovación

organizacional y la preservación de la memoria institucional. La implementación de los

planes de ajuste tecnológico, protocolos de IPv6, seguridad de la información y manejo de

redes, entre otros, hacen parte de este componente.

La articulación de estos permitirá en la entidad la implementación de buenas prácticas de

eficiencia administrativa que redunden en reducciones de consumo de papel, elaboración de

documentos electrónicos y sistematización de trámites, procesos y procedimientos, entre

otros resultados (Mintic, Mintic, 2017).

4.3.5. ISO 27001

Es una norma internacional emitida por la Organización Internacional de Normalización

(ISO) y describe cómo gestionar la seguridad de la información en una empresa. La

revisión más reciente de esta norma fue publicada en 2013 y ahora su nombre completo es

ISO/IEC 27001:2013. La primera revisión se publicó en 2005 y fue desarrollada en base a

la norma británica BS 7799-2.

 88
ISO 27001 puede ser implementada en cualquier tipo de organización, con o sin fines de

lucro, privada o pública, pequeña o grande. Está redactada por los mejores especialistas del

mundo en el tema y proporciona una metodología para implementar la gestión de la

seguridad de la información en una organización. También permite que una empresa sea

certificada; esto significa que una entidad de certificación independiente confirma que la

seguridad de la información ha sido implementada en esa organización en cumplimiento

con la norma ISO 27001.

Funcionamiento de la ISO 27001. El eje central de ISO 27001 es proteger la

confidencialidad, integridad y disponibilidad de la información en una empresa. Esto lo

hace investigando cuáles son los potenciales problemas que podrían afectar la información

(es decir, la evaluación de riesgos) y luego definiendo lo que es necesario hacer para evitar

que estos problemas se produzcan (es decir, mitigación o tratamiento del riesgo).

Por lo tanto, la filosofía principal de la norma ISO 27001 se basa en la gestión de

riesgos: investigar dónde están los riesgos y luego tratarlos sistemáticamente (Kosutic,

2017).

4.3.6. Decreto 1360 de 1989, Equipara el software a una creación literaria

Equipara el software a una creación literaria, aunque el software va más allá del código en sí

mismo, su apariencia puede ser objeto de protección igualmente por el derecho de autor (Decreto

1360, 1989). (Decreto 1360 de 1989, 1989)

4.3.7. Ley Estatutaria 1581 de 2012, Ley de protección de datos personales

Ley de protección de datos personales, que determina el tratamiento que se debe dar a la

información personal almacenada en las bases de datos tanto privadas como públicas para

proteger su integridad y confidencialidad. (Republica de Colombia, 2012)

 89
4.3.8. Ley 603 de 2000 Reporte de gestión cumplimiento normas

Sin embargo, uno de los logros más importantes de la legislación colombiana en materia de

protección de derechos de autor fue la, en la cual todas las empresas deben reportar en sus

Informes Anuales de Gestión el cumplimiento de las normas de propiedad intelectual y derechos

de autor. La Dirección de Impuestos y Aduanas Nacionales (DIAN) quedó encargada de

supervisar el cumplimiento de estas leyes, mientras que las Superintendencias quedaron

responsables de vigilar y controlar a estas empresas. (Ley 603 de 2000, 2010).

4.3.9. Norma técnica colombiana, (NTC): NTC 5415-1, NTC 5420, NTC 4243

Tecnología de la información, evaluación del producto de software

Objeto. Esta parte de la NTC 5415 sirve como introducción de las restantes partes.

Ofrece una visión general de las otras partes y explica la relación entre la serie NTC 5415 y

el modelo de calidad de la serie NTC 5420. Esta parte de la norma define los términos

técnicos utilizados en las otras partes, contiene requisitos generales para la especificación y

evaluación de la calidad del software y clarifica los conceptos generales. Además, aporta un

marco para la evaluación de la calidad de todos los tipos de productos de software y

establece requisitos para métodos de medición y evaluación de los productos de software.

La norma está dirigida a ser usada por desarrolladores, compradores y evaluadores

independientes, en particular los responsables de la evaluación de los productos de

software. Los resultados de la evaluación producidos por la aplicación de la norma pueden

ser usados por gestores, desarrolladores y responsables de mantenimiento para medir la

conformidad con los requisitos y para realizar mejoras donde sea necesario. Los resultados

de la evaluación también pueden ser utilizados por analistas para establecer las relaciones

entre métricas internas y externas. El personal encargado de la mejora de los procesos

puede utilizar los resultados de la evaluación para determinar como se pueden mejorar los
 90
procesos mediante el estudio y el examen de la información de la calidad de producto del

proyecto.

Conformidad. La especificación y evaluación del software está conforme con esta parte

de la NTC 5415 si utiliza el proceso descrito en el capítulo 6 y un modelo de calidad como

se requiere en el numeral 8.3. La conformidad con la totalidad de la NTC 5415 significa la

conformidad con todas las partes publicadas de la NTC 5415 que sean de aplicación.

Referencias normativas. Los siguientes documentos normativos referenciados son

indispensables para la aplicación de este documento normativo. Para referencias fechadas,

se aplica únicamente la edición citada. Para referencias no fechadas, se aplica la última

edición del documento normativo referenciado (incluida cualquier corrección).

NTC 4243:1997, Tecnología de la información. Proceso del ciclo de vida del software

(ISO/lEC 12207:1995). NTC 5420-1, Tecnología de la información. Calidad del producto

de software. Parte 1: Modelo de calidad. (ISO/IEC 9126-1). NTC-ISO 9000:2005, Sistemas

de gestión de la calidad. Fundamentos y vocabulario. ISO/IEC 2382-1:1993, Information

Technology. Vocabulary Part 1: Fundamental Terms. (ICONTEC, 2006)

 91
4.4. Marco geográfico

4.4.1. Microlocalización

Figura No 21. Ubicación geográfica de la empresa Importronic S.A.

Fuente: Google maps

Descripción: En este mapa se visualiza la ubicación exacta de la empresa Pereira, Risaralda, Colombia.
La empresa Importadora Electrónica S.A lleva en el mercado de la electrónica aproximadamente 50 años,
importando y comercializando equipos y componentes electrónicos con los cuales ha cubierto importantes sectores
de la economía colombiana como la industria electrónica, el comercio electrónico al por menor y el sector educativo,
En la actualidad la empresa cuenta con 19 empleados vinculados directamente y 2 personas por prestación de
servicios.
Durante este trasegar, la empresa ha visto la necesidad de adoptar estándares de calidad que le permitan ser más
competitiva, garantizando la calidad en sus procesos internos y la satisfacción de sus clientes.
Es de importancia resaltar que la empresa Importadora Electrónica S.A es líder en el mercado de la electrónica a
nivel nacional y una de las pocas empresas del sector que cuenta con certificación de calidad ISO9001:2008, siendo
el desarrollo de este sistema de seguridad en la información un punto de partida para que las otras empresas del
sector lo implementen.

4.5. Macrolocalización Pereira.

El municipio de Pereira está localizado a cuatro grados 49 minutos de latitud norte, 75 grados

42 minutos de longitud y 1.411 metros sobre el nivel del mar en el centro de la región occidental

del territorio colombiano. Tiene una temperatura promedio de 21° C y un área de 702 Km2 Su

localización estratégica, dentro de la región cafetera, lo ubica en el panorama económico nacional

e internacional. Este potencial se fortalece con la integración a la red vial que une a los tres
 92
centros urbanos más importantes del territorio nacional y con acceso a los medios marítimos y

aéreos con flujo internacional.

Limita al norte con el municipio de Dosquebradas, al sur con el departamento del Quindío, al

este con el departamento del Tolima y al oeste con el Valle del Cauca. Pereira cuenta con

recursos hídricos importantes, como los ríos Otún, Consota, Barbas y Cestillal. Un total de 8.7

metros cúbicos por segundo, son captados del río Otún, el 82% se destina para la generación de

energía. (Alcaldía de Pereira , 2016)

Figura No 22. Pereira, Capital del Eje

, Fuente, http://risaraldahoy.com/juan-pablo-gallo-declaro-a-pereira-como-capital-del-eje/
Descripción: Imagen del día que se declaro a Pereira, Capital del Eje fue establecido por el alcalde Juan Gallo Maya
como la imagen de ciudad que acompañará su administración. “Buscaremos con nuestra marca Pereira Capital del
Eje ser un referente de desarrollo, de progreso y competitividad a nivel nacional” explicó el.

4.6. Población Pereira.

Pereira tiene 488.839 habitantes, de las cuales 410.535 se encuentran en el área urbana y

78.304 en el área rural. Es la ciudad más poblada de la región del Eje cafetero, su área
 93
metropolitana (AMCO - Área Metropolitana Centro de Occidente) comprende además los

municipios de La Virginia y Dosquebradas, sumando 687.041 habitantes. El departamento de

Risaralda, del cual Pereira es su capital, tiene 935.910 habitantes. (DANE, 2016)

4.7. Geografía Pereira

El suelo de Pereira se distribuye según sus climas así:

Clima cálido el 9.9 %, clima medio el 60.7 %, clima frio el 11.5%, páramo 17.7%, su

precipitación media anual es de 2.750 mm.

Esta característica climática y la conformación de los suelos, brinda también una variedad en

la cobertura vegetal y paisajística, potencializando el municipio de Pereira con una de las

biodiversidades más ricas de la nación. No obstante, la ciudad se presenta como zona de alta

vulnerabilidad sísmica por el tipo de suelos que la conforman y por las fallas geológicas que la

atraviesan. (Alcaldía de Pereira , 2016)

4.8. Demografía Pereira.

Las proyecciones de población del DANE, indican que el municipio de Pereira, acoge el

49,4% de la población del departamento de Risaralda, y el 0,99% de la nación. El grado de

urbanización de la población de esta entidad territorial, es del 84,2%, aunque solo el 4,5% de su

territorio es urbano. Este es el segundo municipio en el país, con la mayor extensión rural en

proporción a su territorio. (DANE, 2008)

4.9. Datos Macroeconómicos de Pereira.

La estructura empresarial se concentra en las actividades de servicios relacionados con

comercio, restaurantes y hoteles (70.8% del número de empresas registradas en la Cámara de

Comercio), finanzas y seguros (14,7%) y otros servicios (15%); en tanto las empresas de

industria manufacturera registradas ascienden al 8.3% del total de las empresas. Cabe resaltar

que el 94% de las empresas que desarrollan actividad económica en el municipio son de carácter
 94
micro, mientras que solo el 0.3% se puede clasificar como gran empresa. (Direccion Nacional de

Planeacion, (DNP), 2016)

Los estudios sobre movimiento de carga en Colombia, Risaralda y el Eje Cafetero, indican que

estos no son significativos para Pereira, en términos de volúmenes de carga de origen o destino.

Sin embargo Risaralda es corredor de gran parte del volumen de mercancías que circulan entre el

occidente colombiano y la costa Caribe. De acuerdo con los estudios nacionales, se observan

potencialidades para el Eje Cafetero en áreas logísticas de consolidación de cargas regionales; no

obstante existen empresas ya establecidas en Pereira y Dosquebradas, que acopian materias

primas o productos, y luego los distribuyen a otras regiones colombianas, actuando como

verdaderos centros de logística. (Direccion Nacional de Planeacion, (DNP), 2016)

Los expertos de desarrollo local, señalan que en un horizonte de cinco años, sectores como la

industria, agroindustria, metalmecánica, unidos a la articulación de los sectores público y

privado, actuaran como variables impulsoras del desarrollo del municipio, con dos variables

externas fundamentales, los TLC y la zona franca. (MINTRABAJO, Republica de Colombia,

2016)
 95
5. Diseño metodológico

5.1. Beneficios del aplicativo

La implementación de este modelo de evaluación de seguridad informática impactara de

manera positiva los procesos que estén implicados con todo el manejo de información en la

empresa Importronic S.A, entre los múltiples beneficios que se presentaran, se pueden

enumerar los siguientes:

 Una adecuada administración de la red interna.

 Concientización y buenas costumbres sobre el uso de los equipos de computo.

 La seguridad optima en el uso de claves y contraseñas.

 La buena manipulación y ejecución de correos electrónicos internos y externos

 Se optimizara la red, para la rapidez de información importante.

 Se podrá controlar el acceso inadecuado a la red wifi de la empresa, para administrar

de manera eficiente el ancho de banda.

 Se establecerá un administrador de red para evitar dependencia de otro usuario y

darle un mejor manejo a los equipos de computo.

 Así mismo se podrá controlar e identificar todos los puntos críticos que sigan

existiendo para darles la mejor solución y evitar riesgos a futuro.

 Controlar las configuraciones de los usuarios.

5.2. Limitaciones del aplicativo

 La evaluación solo se basa en los puntos más críticos, no es a nivel global

 96
 La correcta implementación y seguimiento, depende del cambio de actitud y

concientización del personal de la empresa en cuanto a los beneficios de dicha

implementación, (se siente el rechazo al cambio).

 Es difícil aplicar una evaluación detallada, ya que la gerencia es reacia con su

información y toda su estructura organizativa.

 La seguridad informática es un proceso costoso que no genera una utilidad, y para la

gerencia es poco productivo este tipo de inversión.

 Se requiere de más tiempo para analizar y evaluar de manera eficiente y efectiva

todos los procesos de una empresa.

5.3. Etapas metodológicas

Etapa N.° 1. Realizar una evaluación preliminar que identifique los puntos críticos de los

procesos de hardware y software, en cuanto a información tramitada y funcionamiento de la red.

Etapa N.° 2 Diseñar una matriz de riesgos que pondere los puntos más críticos de

vulnerabilidad de todos los activos informáticos, la información y la red.

Etapa N.° 3. Clasificar los activos informáticos de la empresa, que permitan su más óptimo

funcionamiento y uso.

Etapa N.° 4. Desarrollar un aplicativo de evaluación Informático en la empresa Importronic

S.A., en la ciudad de Pereira, (Ris.), para el II semestre de año 2017.

Etapa N.° 5. Realizar pruebas piloto mediante simulacro que determinen el correcto

funcionamiento del aplicativo.

 97
6. Desarrollo del aplicativo

Para iniciar el modelo de evaluación informática de la empresa Importronic S.A se detectaran

los puntos críticos, y se investigara como es el proceso de los activos informáticos, como es el

funcionamiento de la red y todos sus usuarios, accesos de internet(wifi) y después de recopilar

toda la informacion anterior se generara la matriz de riesgos para identificar los puntos más

críticos en los que la empresa está presentando fallas informáticas, fallas de red, equipos de

cómputo y todo lo relacionado con los activos informáticos que son los que presentan una

posible vulnerabilidad y pueden poner en riesgo la información que es lo más importante de la

empresa.

NOTA

TODAS Y CADA UNA DE LAS TABLAS DE LAS MATRICES REQUIEREN SU

DESCRIPCIÓN. QUE ES? CUAL ES SU OBJETIVO QUE RESULTADOS SE

OBTUVIERON, COMO, ES DECIR SE PUEDE HACER UNA DESCRIPCIÓN DE TODA LA

MATRIZ EN CUAL TABAL SE INTRODUCEN DATOS QUE HACE LA MATRIZ CON

ELLOS .

POR QUE ESTA EXPLICACIÓN DEBE SER TAMBIÉN EL MANUAL DEL

MODELO

LA MATRIZ DE SISTEMAS Y PERSONAL NO TIENE CALIFICACIÓN EN NINGUNO

DE SUS ÍTEM HORIZONTALES, POR QUE? SI NO SE NECESITAN EXPLICAR SU

RAZÓN , SI NO ES MEJOR QUITARLOS

Planes,
Datos e

(Proyectos,
Documentos
Información

Evaluaciones,
institucionales

Informes, etc.)
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

Tabla 3. Matriz de riesgo: datos

Clasificación

Costo de recuperación (tiempo, económico,

6.1. Matriz de riesgos: datos

material, imagen, emocional)

[1 =
Daño:

2 = Bajo

1
4 = Alto]
3 = Mediano
Magnitud de

Insignificante

1
1
Allanamiento (ilegal, legal)

1
1
Persecución (civil, fiscal, penal)

1
1
Orden de secuestro / Detención

3
3
Sabotaje (ataque físico y electrónico)

1
1

Daños por vandalismo

1
1

Extorsión
1
1

Fraude / Estafa
1
1

Robo / Hurto (físico)

Robo / Hurto de información
2
2

electrónica
Matriz de Análisis de Riesgo: datos

2
2

Intrusión a Red interna

4
4

Infiltración
Virus / Ejecución no autorizado de
4
4

programas
1
1
Actos originados por la criminalidad común y motivación política

Violación a derechos de autor

1
1

Incendio
2
2

Inundación / deslave
2
2

Sismo
4
4

Polvo
3
3

Falta de ventilación
4
4

Electromagnetismo
3
3

Sobrecarga eléctrica
Sucesos de origen físico

4
4

Falla de corriente (apagones)

98

3
3

Falla de sistema / Daño disco duro

etc.)
Datos e

RR.HH
Servicios
Finanzas

bancarios

Contactos
Productos
Información

Directorio de

institucionales

Folletos, Fotos,
(Investigaciones,
x
x
x
x
Confidencial, Privado, Sensitivo

x
Obligación por ley / Contrato / Convenio

Costo de recuperación (tiempo, económico,

Clasificación

material, imagen, emocional)

[1 =
Daño:

3
1
2
1
1
2 = Bajo

4 = Alto]
Continuación, Tabla 3. Matriz de riesgo: datos

3 = Mediano
Magnitud de

Insignificante

3
1
2
1
1
1
Allanamiento (ilegal, legal)

3
1
2
1
1
1
Persecución (civil, fiscal, penal)

3
1
2
1
1
1
Orden de secuestro / Detención

9
3
6
3
3
3 Sabotaje (ataque físico y electrónico)

3
1
2
1
1
1

Daños por vandalismo

3
1
2
1
1
1

Extorsión

3
1
2
1
1
1

Fraude / Estafa

3
1
2
1
1
1

Robo / Hurto (físico)

2

6
2
4
2
2

Robo / Hurto de información electrónica

2

6
2
4
2
2
Matriz de Análisis de Riesgo: datos

Intrusión a Red interna

4
8
4
4
4

12

Infiltración
4

4
8
4
4

Virus / Ejecución no autorizado de

12

programas
1

3
1
2
1
1

Violación a derechos de autor

Actos originados por la criminalidad común y motivación política

3
1
2
1
1

Incendio
2

6
2
4
2
2

Inundación / deslave
2

6
2
4
2
2

Sismo
4

4
8
4
4

12

Polvo
3

9
3
6
3
3

Falta de ventilación
4

4
8
4
4

Electromagnetismo
12
3

Sobrecarga eléctrica
9
3
6
3
3
Sucesos de origen físico

Falla de corriente (apagones)

4
8
4
4

12
3

9
3
6
3
3

Falla de sistema / Daño disco duro

99
 Correo
Datos e

internos

externos
electrónico
Información

colaborativos
Bases de datos
Bases de datos
Bases de datos

x
x
x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

Clasificación

Costo de recuperación (tiempo, económico,

material, imagen, emocional)
[1 =
Daño:

2 = Bajo

1
1
1
2
4 = Alto]
Continuación, Tabla 3. Matriz de riesgo: datos

3 = Mediano
Magnitud de

Insignificante

1
1
1
2
1
Allanamiento (ilegal, legal)

1
1
1
2
1

Persecución (civil, fiscal, penal)

1
1
1
2
1

Orden de secuestro / Detención

3
3
3
6
3

Sabotaje (ataque físico y electrónico)

1
1
1
2
1

Daños por vandalismo

1
1
1
2
1

Extorsión
1
1
1
2
1

Fraude / Estafa
1
1
1
2
1

Robo / Hurto (físico)

2
2
2
4
2

Robo / Hurto de información electrónica

Matriz de Análisis de Riesgo: datos

2
2
2
4
2

Intrusión a Red interna

4
4
4
8
4

Infiltración
4
4
4
8
4

Virus / Ejecución no autorizado de

programas
1

1
1
1
2
Actos originados por la criminalidad común y motivación política

Violación a derechos de autor

1

1
1
1
2

Incendio
2
2
2
4
2

Inundación / deslave
2
2
2
4
2

Sismo
4
4
4
8
4

Polvo
3
3
3
6
3

Falta de ventilación
4
4
4
8
4

Electromagnetismo
3
3
3
6
3

Sobrecarga eléctrica
Sucesos de origen físico

4
4
4
8
4

Falla de corriente (apagones)

3
3
3
6
3
100

Falla de sistema / Daño disco duro

etc.)
etc.)
interna
Datos e

externa

(Planes,
(Planes,
(Intranet)

Respaldos

Informática
Página Web
Página Web
Información

Infraestructura

Documentación,
Documentación,
x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

x
x
x
Costo de recuperación (tiempo, económico,
Clasificación

material, imagen, emocional)

[1 =
Daño:

4
4
2
2
1
2 = Bajo

4 = Alto]
Continuación, Tabla 3. Matriz de riesgo: datos

3 = Mediano
Magnitud de

Insignificante

4
4
2
2
1
1
Allanamiento (ilegal, legal)
1

4
4
2
2
1 Persecución (civil, fiscal, penal)
1

4
4
2
2
1

Orden de secuestro / Detención

2
1
2
1
6
6
3
3

Sabotaje (ataque físico y electrónico)

4
4
2
2
1
1

Daños por vandalismo

4
4
2
2
1
1

Extorsión

4
4
2
2
1
1

Fraude / Estafa

4
4
2
2
1
1

Robo / Hurto (físico)

8
8
4
4
2
2

Robo / Hurto de información electrónica

Matriz de Análisis de Riesgo: datos

8
8
4
4
2
2

Intrusión a Red interna

8
8
4
4

16
16

Infiltración
Virus / Ejecución no autorizado de
8
8
4
4

16
16

programas
Actos originados por la criminalidad común y motivación política

4
4
2
2
1
1

Violación a derechos de autor

4
4
2
2
1
1

Incendio
8
8
4
4
2
2

Inundación / deslave
8
8
4
4
2
2

Sismo
6
1
6
1
8
8
4
4

Polvo
6
6
3
3

12
12

Falta de ventilación
8
8
4
4

16
16

Electromagnetismo
6
6
3
3

12
12
Sucesos de origen físico

Sobrecarga eléctrica
6
1
6
1
8
8
4
4

Falla de corriente (apagones)

2
1
2
1
6
6
3
3
101

Falla de sistema / Daño disco duro

 102
Continuación, Tabla 3. Matriz de riesgo: datos
Matriz de Análisis de Riesgo: datos
Actos originados por la criminalidad común y motivación
Clasificación Sucesos de origen físico
política

Robo / Hurto de información electrónica

Costo de recuperación (tiempo, económico,

Sabotaje (ataque físico y electrónico)

Obligación por ley / Contrato / Convenio

Virus / Ejecución no autorizado de

Falla de sistema / Daño disco duro

Persecución (civil, fiscal, penal)

Orden de secuestro / Detención

Violación a derechos de autor

Falla de corriente (apagones)

Confidencial, Privado, Sensitivo

Allanamiento (ilegal, legal)

material, imagen, emocional)

Intrusión a Red interna

Daños por vandalismo

Robo / Hurto (físico)

Inundación / deslave

Sobrecarga eléctrica
Falta de ventilación

Electromagnetismo
Magnitud de

Fraude / Estafa
Daño:

Infiltración

programas
Extorsión

Incendio
[1 =

Sismo

Polvo
Datos e
Insignificante
Información
2 = Bajo
3 = Mediano
4 = Alto]

1 1 1 3 1 1 1 1 2 2 4 4 1 1 2 2 4 3 4 3 4 3
Base de datos
x 1 1 1 1 3 1 1 1 1 2 2 4 4 1 1 2 2 4 3 4 3 4 3
de Contraseñas
Datos e
información no x 1 1 1 1 3 1 1 1 1 2 2 4 4 1 1 2 2 4 3 4 3 4 3
institucionales
Navegación en
x 4 4 4 4 12 4 4 4 4 8 8 16 16 4 4 8 8 16 12 16 12 16 12
Internet
Chat interno x 1 1 1 1 3 1 1 1 1 2 2 4 4 1 1 2 2 4 3 4 3 4 3
Chat externo x 3 3 3 3 9 3 3 3 3 6 6 12 12 3 3 6 6 12 9 12 9 12 9
Llamadas
telefónicas x 1 1 1 1 3 1 1 1 1 2 2 4 4 1 1 2 2 4 3 4 3 4 3
internas

Llamadas
telefónicas x 2 2 2 2 6 2 2 2 2 4 4 8 8 2 2 4 4 8 6 8 6 8 6
externas
Fuente: autor
 Planes,
Datos e

Finanzas
(Proyectos,

Fuente: autor
Documentos
Información

Evaluaciones,
institucionales

Informes, etc.)

x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

Costo de recuperación (tiempo, económico,

Clasificación

material, imagen, emocional)

[1 =
Daño:
Continuación Tabla 4. Matriz de riesgos: datos

1
1
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Falta de inducción, capacitación y

4
4
4 sensibilización sobre riesgos
Mal manejo de sistemas y

2
2
2

herramientas
institucionales

Utilización de programas no

3
3
3

autorizados / software 'pirateado'

Falta de pruebas de software nuevo

1
1
1

con datos productivos

1
1
1

Perdida de datos
Matriz de Análisis de Riesgo: datos

Infección de sistemas a través de

3
3
3

unidades portables sin escaneo

Manejo inadecuado de datos críticos
1
1
1

(codificar, borrar, etc.)

Unidades portables con información
1
1
1

sin cifrado
Transmisión no cifrada de datos
1
1
1

críticos

Manejo inadecuado de contraseñas

4
4
4

(inseguras, no cambiar, compartidas,

BD centralizada)
Sucesos derivados de la impericia, negligencia de usuarios/as y decisiones

Compartir contraseñas o permisos a

4
4
4

terceros no autorizados
Transmisión de contraseñas por
3
3
3

teléfono
103
 Datos e

RR.HH
Finanzas

Servicios
Servicios

bancarios
bancarios
Información

x
x
x
Confidencial, Privado, Sensitivo

x
Obligación por ley / Contrato / Convenio
Clasificación

Costo de recuperación (tiempo, económico,

material, imagen, emocional)
[1 =
Continuación Tabla 4. Matriz de Riesgo: datos

Daño:

2
1
1
1
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Falta de inducción, capacitación y

8
4
4
4
4
sensibilización sobre riesgos
Mal manejo de sistemas y

4
2
2
2
2

herramientas
institucionales

Utilización de programas no

6
3
3
3
3

autorizados / software 'pirateado'

Falta de pruebas de software nuevo
2
1
1
1
1

con datos productivos

Matriz de Análisis de Riesgo: datos

2
1
1
1
1

Perdida de datos
Infección de sistemas a través de
6
3
3
3
3

unidades portables sin escaneo

Manejo inadecuado de datos críticos
2
1
1
1
1

(codificar, borrar, etc.)

Unidades portables con información
2
1
1
1
1

sin cifrado
Transmisión no cifrada de datos
2
1
1
1
1

críticos

Manejo inadecuado de contraseñas

8
4
4
4
4

(inseguras, no cambiar, compartidas,

BD centralizada)
Sucesos derivados de la impericia, negligencia de usuarios/as y decisiones

Compartir contraseñas o permisos a

8
4
4
4
4

terceros no autorizados
Transmisión de contraseñas por
6
3
3
3
3

teléfono
104
 etc.)
Correo
Datos e

Contactos
Productos

electrónico
Información

Directorio de

institucionales

Folletos, Fotos,
(Investigaciones,

x
x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

Clasificación

Costo de recuperación (tiempo,

económico, material, imagen, emocional)
[1 =
Continuación Tabla 4. Matriz de riesgos: datos

Daño:

2
3
1
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Falta de inducción, capacitación y

8
4
4

12
sensibilización sobre riesgos
Mal manejo de sistemas y

4
6
2
2

herramientas
institucionales

Utilización de programas no

6
9
3
3

autorizados / software 'pirateado'

Falta de pruebas de software nuevo
2
3
1
1

con datos productivos

Matriz de Análisis de Riesgo: datos

2
3
1
1

Perdida de datos
Infección de sistemas a través de
6
9
3
3

unidades portables sin escaneo

Manejo inadecuado de datos críticos
2
3
1
1

(codificar, borrar, etc.)

Unidades portables con información
2
3
1
1

sin cifrado
Transmisión no cifrada de datos
2
3
1
1

críticos

Manejo inadecuado de contraseñas

8
4
4

12

(inseguras, no cambiar, compartidas,

BD centralizada)
Sucesos derivados de la impericia, negligencia de usuarios/as y decisiones

Compartir contraseñas o permisos a

8
4
4

12

terceros no autorizados
Transmisión de contraseñas por
6
9
3
3

teléfono
105
interna
Datos e

internos

externos

(Intranet)
Página Web
Información

colaborativos
Bases de datos
Bases de datos
Bases de datos

x
x
x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

Clasificación

Costo de recuperación (tiempo, económico,

material, imagen, emocional)
[1 =
Continuación Tabla 4. Matriz de riesgos: datos

Daño:

1
1
1
1
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Falta de inducción, capacitación y

4
4
4
4
4
sensibilización sobre riesgos

Mal manejo de sistemas y

2
2
2
2
2
institucionales

herramientas

Utilización de programas no

3
3
3
3
3

autorizados / software 'pirateado'

Falta de pruebas de software nuevo

1
1
1
1
1

con datos productivos

Matriz de Análisis de Riesgo: datos

1
1
1
1
1

Perdida de datos

Infección de sistemas a través de

3
3
3
3
3

unidades portables sin escaneo

Manejo inadecuado de datos críticos

1
1
1
1
1

(codificar, borrar, etc.)

Unidades portables con información

1
1
1
1
1

sin cifrado

Transmisión no cifrada de datos

1
1
1
1
1

críticos
Sucesos derivados de la impericia, negligencia de usuarios/as y decisiones

Manejo inadecuado de contraseñas

4
4
4
4
4

(inseguras, no cambiar, compartidas,

BD centralizada)

Compartir contraseñas o permisos a

4
4
4
4
4

terceros no autorizados
106
etc.)
etc.)
Datos e

externa

(Planes,
(Planes,
Respaldos

Informática
Página Web
Información

Infraestructura

Documentación,
Documentación,
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

x
x
x
Clasificación

Costo de recuperación (tiempo,

económico, material, imagen, emocional)
[1 =
Continuación Tabla 4. Matriz de riesgos: datos

Daño:

4
4
2
2
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Falta de inducción, capacitación y

8
8
4

16
16
sensibilización sobre riesgos

Mal manejo de sistemas y

8
8
4
4
2
institucionales

herramientas

Utilización de programas no
6
6
3

12
12
autorizados / software 'pirateado'

Falta de pruebas de software nuevo

4
4
2
2
1

con datos productivos

Matriz de Análisis de Riesgo: datos

4
4
2
2
1

Perdida de datos

Infección de sistemas a través de

6
6
3

12
12

unidades portables sin escaneo

Manejo inadecuado de datos críticos

4
4
2
2
1

(codificar, borrar, etc.)

Unidades portables con información

4
4
2
2
1

sin cifrado

Transmisión no cifrada de datos

4
4
2
2
1

críticos
Sucesos derivados de la impericia, negligencia de usuarios/as y decisiones

Manejo inadecuado de contraseñas

8
8
4

16
16

(inseguras, no cambiar, compartidas,

BD centralizada)

Compartir contraseñas o permisos a

8
8
4

16
16

terceros no autorizados
107
 Datos e
Datos e

Internet

internas

externas
Llamadas
Llamadas

telefónicas
telefónicas
Información

Contraseñas

Chat interno
Chat externo
institucionales
Navegación en
información no
Base de datos de

x
x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

x
x
x
x
Clasificación

Costo de recuperación (tiempo,

económico, material, imagen, emocional)
[1 =
Continuación Tabla 4. Matriz de riesgos: datos

Daño:

2
1
3
1
4
1
1
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Falta de inducción, capacitación y

8
4
4
4
4
4

12
16
sensibilización sobre riesgos

Mal manejo de sistemas y

4
2
6
2
8
2
2
2
institucionales

herramientas

Utilización de programas no

6
3
9
3
3
3
3

12

autorizados / software 'pirateado'

Falta de pruebas de software nuevo

2
1
3
1
4
1
1
1

con datos productivos

2
1
3
1
4
1
1
1

Perdida de datos

Infección de sistemas a través de

6
3
9
3
3
3
3

12

unidades portables sin escaneo

Manejo inadecuado de datos críticos

2
1
3
1
4
1
1
1

(codificar, borrar, etc.)

Unidades portables con información

2
1
3
1
4
1
1
1

sin cifrado

Transmisión no cifrada de datos

2
1
3
1
4
1
1
1

críticos
Sucesos derivados de la impericia, negligencia de usuarios/as y decisiones

Manejo inadecuado de contraseñas

8
4
4
4
4
4

12
16

(inseguras, no cambiar, compartidas,

BD centralizada)

Compartir contraseñas o permisos a

8
4
4
4
4
4

12
16

terceros no autorizados
108
 Planes,
Datos e

RR.HH
Servicios
Finanzas

bancarios

Contactos
Productos

Fotos, etc.)
(Proyectos,

es, Folletos,
Documentos
Información

Directorio de
Evaluaciones,

(Investigacion
institucionales
institucionales

Informes, etc.)

x
x
x
x
x
Confidencial, Privado, Sensitivo

x
Obligación por ley / Contrato / Convenio
Clasificación

Costo de recuperación (tiempo, económico,

material, imagen, emocional)
[1 =
Daño:
Continuación Tabla 4. Matriz de riesgos: datos

3
1
2
1
1
1
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

9
3
6
3
3
3
3

Transmisión de contraseñas por teléfono

Exposición o extravío de equipo, unidades

3
1
2
1
1
1
1

de almacenamiento, etc

3
1
2
1
1
1
1

Sobrepasar autoridades
Falta de definición de perfil, privilegios y

9
3
6
3
3
3
3

restricciones del personal

Falta de mantenimiento físico (proceso,

6
2
4
2
2
2
2

repuestos e insumos)

Falta de actualización de software

3
1
2
1
1
1
1

(proceso y recursos)

Fallas en permisos de usuarios (acceso a

6
2
4
2
2
2
2

archivos)

Acceso electrónico no autorizado a

3
1
2
1
1
1
1

sistemas externos
Acceso electrónico no autorizado a
6
2
4
2
2
2
2

sistemas internos
Red cableada expuesta para el acceso no
6
2
4
2
2
2
2

autorizado
Red inalámbrica expuesta al acceso no
6
2
4
2
2
2
2

autorizado
9
3
6
3
3
3
3

Dependencia a servicio técnico externo

Falta de normas y reglas claras (no
4
8
4
4
4
4

12

institucionalizar el estudio de los riesgos)

Falta de mecanismos de verificación de
4
8
4
4
4
4

12

normas y reglas / Análisis inadecuado de

datos de control
4
8
4
4
4
4

12

Ausencia de documentación
109
 Correo

interna
Datos e

externa
internos

externos

(Intranet)

Respaldos
electrónico

Página Web
Página Web
Información

colaborativos
Bases de datos
Bases de datos
Bases de datos

x
x
x
x
x
x
Confidencial, Privado, Sensitivo

Obligación por ley / Contrato / Convenio

Clasificación

x
Costo de recuperación (tiempo, económico,
material, imagen, emocional)
[1 =
Daño:
Continuación Tabla 4. Matriz de riesgos: datos

2
2
1
1
1
1
2
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

6
6
3
3
3
3
6
3

Transmisión de contraseñas por teléfono

Exposición o extravío de equipo, unidades

2
2
1
1
1
1
2
1

de almacenamiento, etc

2
2
1
1
1
1
2
1

Sobrepasar autoridades
Falta de definición de perfil, privilegios y

6
6
3
3
3
3
6
3

restricciones del personal

Falta de mantenimiento físico (proceso,

4
4
2
2
2
2
4
2

repuestos e insumos)

Falta de actualización de software

2
2
1
1
1
1
2
1

(proceso y recursos)

Fallas en permisos de usuarios (acceso a

4
4
2
2
2
2
4
2

archivos)

Acceso electrónico no autorizado a

2
2
1
1
1
1
2
1

sistemas externos
Acceso electrónico no autorizado a
4
4
2
2
2
2
4
2

sistemas internos
Red cableada expuesta para el acceso no
4
4
2
2
2
2
4
2

autorizado
Red inalámbrica expuesta al acceso no
4
4
2
2
2
2
4
2

autorizado
6
6
3
3
3
3
6
3

Dependencia a servicio técnico externo

Falta de normas y reglas claras (no
8
8
4
4
4
4
8
4

institucionalizar el estudio de los riesgos)

Falta de mecanismos de verificación de
8
8
4
4
4
4
8
4

normas y reglas / Análisis inadecuado de

datos de control
8
8
4
4
4
4
8
4

Ausencia de documentación
110
 internas

externas
Informática

Contraseñas

Chat interno
Chat externo
Base datos de

Fuente. Autor.
institucionales
Infraestructura
Datos e Información

Llamadas telefónicas
Llamadas telefónicas
Datos información no

Navegación en Internet
x
x
x
Confidencial, Privado, Sensitivo
Obligación por ley / Contrato / Convenio
Costo de recuperación (tiempo, económico,

x
x
x
x
x
x
Clasificación

material, imagen, emocional)

[1 =
Daño:
Continuación Tabla 4. Matriz de riesgos: datos

2
1
3
1
4
1
1
4
4
2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

6
3
9
3
3
3
3

Transmisión de contraseñas por

12
12
12

teléfono
Exposición o extravío de equipo,

2
1
3
1
4
1
1
4
4
1

unidades de almacenamiento, etc

2
1
3
1
4
1
1
4
4
1

Sobrepasar autoridades
Falta de definición de perfil, privilegios

6
3
9
3
3
3
3

12
12
12

y restricciones del personal

Falta de mantenimiento físico (proceso,

4
2
6
2
8
2
2
8
8
2

repuestos e insumos)

Falta de actualización de software

2
1
3
1
4
1
1
4
4
1

Descripción. Probabilidad de Amenaza [1 = Insignificante, 2 = Baja, 3= Mediana, 4 = Alta]

(proceso y recursos)

Fallas en permisos de usuarios (acceso a

4
2
6
2
8
2
2
8
8
2

archivos)

Acceso electrónico no autorizado a

2
1
3
1
4
1
1
4
4
1

sistemas externos
Acceso electrónico no autorizado a
4
2
6
2
8
2
2
8
8
2

sistemas internos
Red cableada expuesta para el acceso no
4
2
6
2
8
2
2
8
8
2

autorizado
Red inalámbrica expuesta al acceso no
4
2
6
2
8
2
2
8
8
2

autorizado
6
3
9
3
3
3
3

12
12
12

Dependencia a servicio técnico externo

Falta de normas y reglas claras (no
8
4
4
4
4
4

12
16
16
16

institucionalizar el estudio de los

riesgos)
Falta de mecanismos de verificación de
8
4
4
4
4
4

12
16
16
16

normas y reglas / Análisis inadecuado

de datos de control
8
4
4
4
4
4

12
16
16
16

Ausencia de documentación
111
Portátiles
Servidores
Cortafuego
switch, etc.)

Computadoras
punto de acceso, etc.)
Sistemas e Infraestructura
Tabla 4. Matriz de riesgo de sistemas

Equipos de la red cableada (router,

6.2. Matriz de riesgo de sistemas

Equipos de la red inalámbrica (router,

Acceso exclusivo

Acceso ilimitado
Costo de recuperación (tiempo, económico,
Clasificación

material, imagen, emocional)

[1 =
Daño:

2 = Bajo

4 = Alto]
3 = Mediano
Magnitud de

Insignificante

Allanamiento (ilegal, legal)

1

Persecución (civil, fiscal, penal)

1

Orden de secuestro / Detención

3

Sabotaje (ataque físico y electrónico)

1

Daños por vandalismo

1

Extorsión
1

Fraude / Estafa
1

Robo / Hurto (físico)

2

Robo / Hurto de información

electrónica
2

Intrusión a Red interna

4

Infiltración

Virus / Ejecución no autorizado de

4

programas
1
Actos originados por la criminalidad común y motivación política

Violación a derechos de autor

112
 113
Continuación Tabla 4. Matriz de riesgo de sistemas

Clasificación Actos originados por la criminalidad común y motivación política

Costo de recuperación (tiempo, económico,

Sabotaje (ataque físico y electrónico)

Virus / Ejecución no autorizado de

Persecución (civil, fiscal, penal)
Orden de secuestro / Detención

Violación a derechos de autor

Robo / Hurto de información
Allanamiento (ilegal, legal)
material, imagen, emocional)

Intrusión a Red interna

Daños por vandalismo

Robo / Hurto (físico)

Magnitud de

Fraude / Estafa
Acceso exclusivo

Acceso ilimitado
Daño:

Infiltración

programas
electrónica
Extorsión
[1 =
Sistemas e Infraestructura Insignificante
2 = Bajo
3 = Mediano
4 = Alto]

1 1 1 3 1 1 1 1 2 2 4 4 1
Programas de administración
(contabilidad, manejo de personal, etc.)
Programas de manejo de proyectos
Programas de producción de datos
Programas de comunicación (correo
electrónico, chat, llamadas telefónicas,
etc.)
Impresoras
Memorias portátiles
PBX (Sistema de telefonía convencional)
Celulares
Edificio (Oficinas, Recepción, Sala de
espera, Sala de reunión, Bodega, etc.)
Vehículos
Fuente. Autor
Descripción. Probabilidad de Amenaza [1 = Insignificante, 2 = Baja, 3= Mediana, 4 = Alta]
 114
6.3. Matriz de riesgo de personal

Tabla 5. Matriz de riesgo de personal

Clasificación Actos originados por la criminalidad común y motivación política

Robo / Hurto de información

Perfil medio, experto en su área

Allanamiento (ilegal, legal)

Imagen pública de alto perfil,

funcionamiento institucional

autorizado de programas
Perfil bajo, no indispensable

Persecución (civil, fiscal,

Sabotaje (ataque físico y

Violación a derechos de
Intrusión a Red interna
Daños por vandalismo

Robo / Hurto (físico)

Orden de secuestro /

Virus / Ejecución no
Magnitud de

para funcionamiento
indispensable para

Fraude / Estafa
Daño:

electrónico)

Infiltración
electrónica
Detención

Extorsión
institucional
[1 =

penal)

autor
Personal Insignificante
2 = Bajo
3 = Mediano
4 = Alto]

1 1 1 3 1 1 1 1 2 2 4 4 1
Junta Directiva
Dirección / Coordinación
Administración
Personal técnico
Recepción
Piloto / conductor
Informática / Soporte técnico
interno
Soporte técnico externo
Servicio de limpieza de planta
Servicio de limpieza externo
Servicio de mensajería de
propio
Servicio de mensajería de
externo
Fuente: autor
 115
Continuación Tabla 5. Matriz de riesgo de personal

Clasificación Sucesos de origen físico

Perfil bajo, no indispensable para

Falla de corriente (apagones)

Perfil medio, experto en su área

Falla de sistema / Daño disco

Imagen pública de alto perfil,

funcionamiento institucional

funcionamiento institucional

Inundación / deslave

Sobrecarga eléctrica
Falta de ventilación

Electromagnetismo
Magnitud de

indispensable para
Daño:

Incendio

Sismo
Polvo
[1 = Insignificante

duro
Personal
2 = Bajo
3 = Mediano
4 = Alto]

1 2 2 4 3 4 3 4 3
Junta Directiva
Dirección / Coordinación
Administración
Personal técnico
Recepción
Piloto / conductor
Informática / Soporte técnico interno
Soporte técnico externo
Servicio de limpieza de planta
Servicio de limpieza externo
Servicio de mensajería de propio
Servicio de mensajería de externo
Fuente: autor
 116
6.4. Análisis de riesgos, promedios de la probabilidad de amenazas

Tabla 6 Análisis de riesgos, promedios de la probabilidad de amenazas

Probabilidad de Amenaza

Criminalidad 0 Negligencia
y Político y
Institucional

Datos e 3,1 4,7 4,0

información

Magnitud Sistemas e 0,1 0,2 0,1

de Daño infraestructura

Personal 0,2 0,2 0,2

Fuente: autor
Descripción.

6.5. Factores de riesgo

Análisis de Factores de Riesgo

Figura No 23. Análisis de factores de riesgo

Criminalidad y Político / Datos e

Información
Criminalidad y Político / Sistemas e
Infraestructura
Criminalidad y Político / Personal
Magnitud de Daño

Sucesos de origen físico / Datos e

Información
Sucesos de origen físico / Sistemas e
Infraestructura
Sucesos de origen físico / Personal

Negligencia y Institucional / Datos e

Información
Negligencia y Institucional / Sistemas e
Infraestructura
Negligencia y Institucional / Personal

Umbral Medio Riesgo

Umbral Alto Riesgo

Probalidad de Amenaza
Fuente: autor
Descripción.
 117
6.5.1. Inventario de Activos Informáticos

Para obtener y recopilar información del hardware y software de la empresa Importronic

S.A. , se realizara un inventario de todos los activos informáticos para poder identificar uno

a uno su funcionamiento y las posibles brechas de seguridad que puedan tener cada uno de

ellos.

Tabla 7. Activos Informáticos

Activos Informáticos Cantidad

Servidores Windows server 2
Switch TP-LINK 48 Puertos 1
Router TP-LINK 4
Equipos de Computo 8
Portátiles 3
Impresoras 2
Fuente: autor
Descripción.

6.5.2. Lista de chequeo (Sistema Operativo Windows Server 2012)

Se realizara una lista de chequeo para identificar y determinar cómo es el acceso y

manejo de los usuarios en los equipos de cómputo en cuanto al sistema operativo de la

empresa Importronic S.A., el objetivo del sistema operativo Windows es:

 Computadoras

 Se les realiza seguimiento a través de la red

 Necesitan dos cosas para acceder a un dominio

 Una cuenta de usuario y una contraseña

 Un objeto del tipo computador que sea registrados por el servidor

 Nombre, localización y propiedades del computador quedan registrados

 Especifica quien está autorizado a utilizar este computador

 118
 Directiva de grupo GPO

 Permiten controlar y configurar las opciones del SO conectados a un dominio

 Consisten en configuración de computador o de usuarios

 Son implementados al momento de inicio y apagado del computador

 Uno de los beneficios es controlar las configuraciones de los usuarios

 119
Tabla 8. Lista de Chequeo SO (Windows Server2012)
Criterios de Evaluación
Proceso: Sistemas operativos
Tema No. Criterio a evaluar de la prueba Aplica No
Aplica
1 Crea un esquema de división en subredes que cumplan
con la cantidad requerida de subredes y direcciones de
host
2 Asigna una dirección IP, una máscara de subred y un
Diseño de direccionamiento
Gateway predeterminado a las Pc
con ipv4
3 Configurar las interfaces Ethernet del router con una
dirección IP y una máscara de subred
4 Crea una interface loopback en el router con una
dirección IP y una máscara de subred
VLSM Máscara variable o 5 Diseña el esquema de direcciones utilizando VLSM
máscara de subred de
longitud variable 6 Cablea y configura la red IPv4
7 Crea redes VLAN y asignar puertos de Switch
VLANs
8 En ruta tráfico entre VLANs
OSPF v2 Protocolo de Red 9 Configura el routing OSPFv2
10 Configura instrucciones de NAT estática
NAT
11 Configura las interfaces internas y externas adecuadas
DHCP relay Protocolo 12 Configura un servidor de DHCPv4 y un agente de
Cliente-servidor retransmisión DHCP
13 Configura el protocolo de enlaces troncales (VTP) en
los Switches
VTP
14 Crea las VLAN en el servidor VTP y distribuye la
información de estas VLAN a los Switches en la red
15 Configura la seguridad de puerto Port Security en un
Port Security
puerto de acceso de los Switch
DHCP Snooping 16 Configura DHCP Snooping en los Switch
SSID 17 Establece el nombre de la red (SSID) en el AP Linksys
Wpa2 18 Establece el modo de seguridad wpa2 en el APLinksys
19 Configura las opciones de filtrado MAC en al
Filtrado Mac
APLinksys
Fuente: Autor
Descripción.

6.5.3. Análisis de los puntos críticos

Después de realizar la matriz de riesgos y obtener los resultados correspondientes

analizaremos los puntos críticos de cada proceso para generar los controles adecuados y evitar

que los puntos críticos se materialicen y puedan causar posibles daños informáticos (Hardware,

Software).
 120
6.5.4. Procesos evaluados: datos e información, sistemas e infraestructura, personal

Puntos críticos encontrados después de crear y cuantificar la matriz de riesgos:

 Infiltración

 Manejo inadecuado de contraseñas (inseguras, no cambiar, compartidas, BD

centralizada)

 Transmisión de contraseñas por teléfono

 Virus / Ejecución no autorizado de programas

 Sabotaje (ataque físico y electrónico)

 Falta de inducción, capacitación y sensibilización sobre riesgos

 Mal manejo de sistemas y herramientas

 Utilización de programas no autorizados / software 'pirateado'

 Infección de sistemas a través de unidades portables sin escaneo

 Falta de definición de perfil, privilegios y restricciones del personal

 Falta de mantenimiento físico (proceso, repuestos e insumos)

 Acceso electrónico no autorizado a sistemas externos

 Red cableada expuesta para el acceso no autorizado

 Dependencia a servicio técnico externo

 Falta de Firewall

 Acceso ilimitado a páginas web, wifi, y redes sociales

 La administración de la red y activos informáticos dependen de una sola persona

 Cableado de red no estructurado

 121
6.5.5. Objetivos de control

Ahora se definirán los objetivos de control adecuados, que se deberán determinar para evitar

los riegos nombrados anteriormente. Para ello debemos tener en cuenta que el “Hardware son

carreteras para el ataque, en la mayoría de las veces el acceso físico es requerido, y finalmente

estos ataques pueden realizarse por medio de la red”.

 122
7. Recursos

7.1. Recursos materiales.

 Computador

 Útiles y papelería

7.2. Institucionales.

 UNIREMIGTON CAT, Pereira.

 Importronic S.A. Empresa importadora de repuestos electrónicos, situada en la carrera

14 # 104 – 89, sector Belmonte, que permitió la realización del trabajo en sus
instalaciones.
7.3. Financieros.

Tabla 9. Presupuesto

Descripción Valor
Transporte(taxi, servicio urbano, moto) $ 600.000
Valor del diplomado $ 1.100.000
Fotocopias e impresión $ 10.000
Horas uso equipo de computo $ 30.740
Otros $ 100.000
Total $ 1.840.740
Fuente: autor
Descripción.
 123
Cronograma

Tabla 10. Cronograma de trabajo de seminario

Cronograma de trabajos de grado y productos de diplomados ii semestre año 2017
No Actividad Junio Julio Agosto Septiembre Octubre Noviembre
. S3 S4 S1 S2 S3 S4 S1 S2 S3 S4 S5 S1 S2 S3 S S S S S S S S S
4 1 2 3 4 1 2 3 4
1 Desarrollo Diplomados.
2 Entrega metodológica I (Entregar
hasta los objetivos).
3 Entrega temática I
4 Entrega metodológica II (Entregar
hasta Marco Metodológico).
5 Entrega temática II
6 Solicitud formato para inscribir
aplicativo en coordinación académica

7 Aprobación Metodológica (Revisión

III antiplagio).
8 Aprobación temática y financiera.
9 Entrega de formato de inscripción
debidamente firmado por los asesores,
y envío de documento final al correo
carlos@funec.org
10 Sustentación producto para optar el
título.
Fuente. FUNEC, CAT, Pereira
Descripción. La tabla se encuentra segmentada por mes y semanas
Nota: Los estudiantes aspirantes a grados de Abril de 2018 deben estar al día académica y financieramente al 15 de Diciembre de 2017.
El tiempo para exponer son 20 minutos, y los jurados tendrán 10 minutos de preguntas.
El correo para enviar los borradores del proyecto y el proyecto final es: carlos@funec.org
Deberán solicitar formato en dirección académica para inscripción y solicitud de fecha de sustentación
 124
8. Conclusiones

La
 125
9. Recomendaciones
 126
10. Referencias bibliográficas

Glosario de Seguridad 101. (2017). Symantec Corporation. Recuperado de la base de datos

de: https://www.symantec.com/es/mx/theme.jsp?themeid=glosario-de-seguridad

Bibliografía

Ley 44 1993. Inscripción del Soporte Lógico (software) en el Registro Nacional del

Derecho de Autor. (5 de Febrero de 1993). Secretaría General de la Alcaldía Mayor de Bogotá

D.C. Recuperado el 20 de Enero de 2017, de Ley 44 de 1993, Congreso de Colombia:

http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=3429

B-One Informatics. (s.d. de s.m. de 2015). La Triada CID. Recuperado el 28 de Septiembre de

2017, de Seguridad informática.: http://copro.com.ar/Activo_(seguridad_informatica).html

Ley 23, Derecho de Autor. (28 de Enero de 1982). Congreso de Colombia. Recuperado el 19 de

Marzo de 2017, de http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=3431

Alcaldía de Pereira. (12 de Diciembre de 2016). Información del Municipio, Alcaldía de

Pereira / Mi Municipio /. Recuperado el 20 de Enero de 2017, de

http://www.pereira.gov.co/MiMunicipio/Paginas/Informacion-del-Municipio.aspx

Alegsa, L. (06 de 07 de 2016). Alegsa.com.ar. Recuperado el 24 de Julio de 2017, de

http://www.alegsa.com.ar/Dic/integridad_de_datos.php

Alegsa, L. (12 de julio de 2016). ALEGSA.COM.AR. Recuperado el 23 de julio de 2017, de

http://www.alegsa.com.ar/Dic/ansi.php

Alfonso, A. (28 de junio de 2012). Seguridad de la información y riesgo tecnológico. Recuperado

el 24 de 07 de 2017, de http://zonaasegurada.blogspot.com.co/2012/06/que-es-el-triangulo-

cia.html
 127
Cisco. (28 de enero de 2013). CISCO. Recuperado el 22 de julio de 2017, de

https://search.cisco.com/search?query=FECHA%20DE%20PUBLCACION&locale=enUS&cat=

&mode=text&clktyp=enter&autosuggest=false

DANE. (30 de Agosto de 2016). Área metropolitana de Centro Occidente, Proyección DANE

2012, Censo 2005. Recuperado el 30 de Enero de 2017, de www.dane.gov.co, proyecciones de

población municipal a 2016:

DANE. (s.d. de Marzo de 2008). Proyecciones municipales. Metodología 2006-2020.

Recuperado el 30 de Enero de 2017, de Proyección DANE 2012, Censo 2005:

https://www.dane.gov.co/files/investigaciones/poblacion/proyepobla06_20/MProyeccionesMunic

ipalesedadsexo.pdf

Decreto 1360. Se reglamenta la inscripción del soporte lógico (software) . (23 de Junio de

1989). Congreso de Colombia. Recuperado el 19 de Marzo de 2017, de

http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=10575

Duque Escobar Gonzalo, Universidad Nacional. (18 de Junio de 2007). digital@unal.edu.co.

Obtenido de http://www.bdigital.unal.edu.co/1567/

Enciclopedia, c. (25 de febrero de 2013). Enciclopedia culturalia. Recuperado el 23 de julio de

2017, de https://edukavital.blogspot.com.co/2013/02/confidencialidad.html

Find The Company. (2015). Importadora Electrónica S.A. Recuperado el 26 de Agosto de 2016,

de http://fichas.findthecompany.com.mx/l/130476473/Importadora-Electronica-S-A-en-Pereira

Gerencie. (12 de Junio de 2010). Balance inicia. Recuperado el 16 de Enero de 2017, de

https://www.gerencie.com/balance-inicial.html

Elegant Themes Germán. (9 de Julio de 2015). Empresa, Estrategia, Innovación Seguridad y el

Cubo de McCumber . ( 2017. S.m. , s.d.)Obtenido de https://www.germanbacca.com/seguridad-

y-el-cubo-de-mccumber/.
 128
Graciela, T. D. (s.d. de s.m. de 2014). Gestión del riesgo en seguridad de la información.

Recuperado el 28 de Septiembre de 2017, de Universidad de la Salle:

http://repository.lasalle.edu.co/bitstream/handle/10185/18057/T33.14%20T789g.pdf?sequence=1

Group, T. P. (s.d. de s.m. de 2017). ¿Qué es PHP? Recuperado el 28 de Abril de 2017, de

http://php.net/manual/es/intro-whatis.php

Hernández, H. E. (2003). Auditoría en Informática. México: Mcgraw-Hill.

Hosting Peru. (24 de 07 de 2017). HOSTINGPERU. Recuperado el 22 de JULIO de 2017, de

http://clientes.hostingperu.com.pe/knowledgebase/234/1-Que-es-un-Badware-o-Malware.html

ICONTEC. (28 de Junio de 2006). Tienda ICONTEC. Recuperado el 28 de Septiembre de 2017,

de Norma técnica NTC colombiana: 5415-1: https://tienda.icontec.org/wp-

content/uploads/pdfs/NTC5415-1.pdf

Instituto SANS. (12 de Noviembre de 2010). Instituto de Redes y Seguridad. Para la prevalencia

de debilidad y sus consecuencias. Recuperado el 28 de Septiembre de 2017, de

http://repository.lasalle.edu.co/bitstream/handle/10185/18057/T33.14%20T789g.pdf?sequence=1

. Sysadmin Audit,

Jojooa. (22 de 11 de 2012). UniversoJus.com. Recuperado el 24 de 07 de 2017, de

https://sites.google.com/site/jojooa/informatica-tecnologia/definicion-de-tcp-que-es-tcp

Kosutic, D. norma ISO 27001. (25 de 03 de 2017). 27001Academy. Recuperado el 08 de 08 de

2017, de https://advisera.com/27001academy/es/que-es-iso-27001/

Laudon y Laudon, C. e. (s.d. de s.m. de 2014). Concepto de seguridad de la informació.

Recuperado el 28 de Septiembre de 2017, de Universidad de la Salle facultad de Ciencias

Económicas y Sociales:

http://repository.lasalle.edu.co/bitstream/handle/10185/18057/t33.14%20t789g.pdf?sequence=1
 129
Ley 23 de 1982. Adición a los derechos de autor. (28 de Enero de 1982). Secretaría General de

la Alcaldía Mayor de Bogotá D.C. Recuperado el 20 de Enero de 2017, de Congreso de

Colombia, Ley 23 de 1982: http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=3431

Ley 44. (5 de Febrero de 1993). Congreso de Colombia. Recuperado el 5 de Marzo de 2017, de

http://www.derechodeautor.gov.co/documents/10181/182597/44.pdf/7875d74e-b3ef-4a8a-8661-

704823b871b5

Ley 603. (31 de Julio de 2000). Modifica el artículo 47 de la Ley 222 de 1.995. Cumplimiento

de las normas sobre derechos de autor. Congreso de Colombia. Recuperado el 19 de Marzo de

2017, de http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=3429

Ley estatutaria 1581. Conocer, actualizar y rectificar las informaciones que se hayan

recogido sobre ellas en bases de datos o archivos, (18 de Octubre de 2012). Congreso de

Colombia. Recuperado el 19 de Marzo de 2017, de

http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=49981

López, M. (02 de 10 de 2011). UNOCERO. Recuperado el 21 de 06 de 2017, de Una nueva

teoría sobre la seguridad informática: https://www.unocero.com/2011/10/02/una-nueva-teoria-

sobre-la-seguridad-basada-en-la-oscuridad/

Manuel, L. M. (2 de Octubre de 2011). UNOCERO. Recuperado el 24 de Septiembre de 2017,

de Seguridad informática: https://www.unocero.com/noticias/ciencia/una-nueva-teoria-sobre-la-

seguridad-basada-en-la-oscuridad/

McCumbe, J. (15 de Junio de 2004). Modelo de seguridad de información de Mc Cumber

McCumber cubo. Recuperado el Septiembre de 2017, de Evaluación y gestión de riesgos de

seguridad en sistemas informáticos: una metodología estructurada:

http://copro.com.ar/McCumber_cubo.html.
 130
Medina, C. (s.d. de s.m. de 2014). Revista Gerencie. Recuperado el 15 de Enero de 2017, de

http://www.degerencia.com/articulos.php?artid=322

Mexico, U. (22 de 05 de 2015). Universidad Nacional UNAM. Obtenido de

http://redyseguridad.fi-p.unam.mx/proyectos/seguridad/DefinicionPolitica.php

Mininterior. (16 de 10 de 2016). Direccion Nacional de Derecho de Autor. Recuperado el 19 de

08 de 2017, de http://derechodeautor.gov.co/decretos

Mintic. (06 de 07 de 2017). Mintic. Recuperado el 07 de 08 de 2017, de

http://www.mintic.gov.co/portal/604/w3-propertyvalue-6082.html

Mintic. (21 de 07 de 2017). Mintic. Recuperado el 07 de 08 de 2017, de

http://www.mintic.gov.co/portal/604/w3-propertyvalue-6077.html

MINTRABAJO, República de Colombia. (s.d. de s.m. de 2016). Perfil Productivo Rural y

Urbano del Municipio de Pereira. . Recuperado el 30 de Enero de 2017, de

file:///C:/Users/Pc/Downloads/perfil_productivo_pereira.pdf

MINTRASPORTE. (2017). Sistema de Información de Costos Eficientes para el Transporte

Automotor de Carga SICE-TAC. Bogota D.E.: MINTRASPORTE.

Norma ISO/IEC 27001. (s.d. de s.m. de 2005). Organización Internacional de Estandarización.

Recuperado el 28 de Septiembre de 2017, de Tecnología de la Información – Técnicas de

seguridad – Sistemas de gestión de seguridad de la información – Requerimientos.:

http://repository.lasalle.edu.co/bitstream/handle/10185/18057/T33.14%20T789g.pdf?sequence=1

Ortiz, M. L. (s.d. de s.m. de 2017). Recuperado el 06 de Abril de 2017, de

http://migueleonardortiz.com.ar/mysql/que-es-mysql-y-como-funciona/994

Pavlovic, D. (16 de Septiembre de 2012). Cornell University Library. Recuperado el 24 de

Septiembre de 2017, de Gaming security by obscurity: https://arxiv.org/abs/1109.5542v1.

 131
Press, O. U. (s.d. de s.m. de 2017). Diccionario Oxford. Recuperado el 15 de Enero de 2017, de

https://es.oxforddictionaries.com/definicion/software

Protejete Wordpress. (27 de Septiembre de 2011). Gestión de Riesgo en la Seguridad

Informática. Recuperado el 28 de Septiembre de 2017, de https://protejete.wordpress.com

Spafford, G. (2013). Manual de seguridad en redes. Recuperado el 28 de Septiembre de 2017, de

http://www.arcert.gov.ar

Universidad Internacional de Valencia. (10 de Octubre de 2016). Tecnología. Recuperado el

24 de Septiembre de 2017, de http://www.viu.es/tres-tipos-seguridad-informatica-debes-conocer/.

Universidad Autónoma del estado de Hidalgo. (s.d. de Julio de 2011). Informática.

Recuperado el 28 de Septiembre de 2017, de

https://www.uaeh.edu.mx/docencia/P_Presentaciones/tlahuelilpan/sistemas/auditoria_informatica

/auditoria_informatica.pdf

Valencia, U. (09 de 09 de 2016). VIU. Obtenido de http://www.viu.es/la-seguridad-informatica-

puede-ayudarme/

Valeriano, M. (11 de 10 de 2013). SlideShare. Obtenido de https://es.slideshare.net/meztli9/16-

activos-inf

Vásquez, B. (14 de 08 de 2010). Tecnologia e Informatica. Recuperado el 24 de 07 de 2017, de

https://solvasquez.wordpress.com/2009/11/06/virus-informaticos/

Venemedia. (05 de 08 de 2014). Conceptodefinicion.de. Recuperado el 24 de 07 de 2017, de

http://conceptodefinicion.de/criptografia/

Vidalina, D. F. (s.d. de s.m. de 2014). Recuperado el 28 de Septiembre de 2017, de Políticas de

Seguridad:

http://repository.lasalle.edu.co/bitstream/handle/10185/18057/T33.14%20T789g.pdf?sequence=1
 132
11. Anexos
 133
Anexo A. CD con memorias del proyecto final
 134
Anexo B. Hallazgos

Para identificar los puntos críticos de la empresa Importronic S.A. se realizó una entrevista

verbal con el Sr John Fredy Arredondo Pulgarin Asesor comercial, que es la única persona

conocedora y encargada del funcionamiento de la red, usuarios, claves, administrador de los

servidores y de cualquier falla que tengan los activos informáticos de la empresa.

Con esta entrevista se conocieron las vulnerabilidades de los activos informáticos que posee la

empresa Importronic S.A. y esto ayudo a generar la matriz de riesgos para poder establecer los

controles adecuados e implantar las políticas de seguridad que ayudaran a mejorar la calidad y la

seguridad informática de la empresa para evitar riesgos y ataques cibernéticos que puedan poner

en peligro la información y el funcionamiento de todos los procesos de la empresa.

Para efectuar el control adecuado se hicieron pruebas fotográficas para detallar más a fondo

todos los riesgos que tiene la empresa en cuanto al manejo de la red.


Figura No 24. Hallazgos de puntos críticos
Cableado cuarto de
comunicaciones
Descripción: En esta imagen se
puede observar lo mal distribuido del
cableado y el riesgo que está
ocurriendo por no realizar un
cableado estructurado.
Equipo de cómputo y servidores
Descripción: con este equipo se
manipulan los servidores en caso de
que se presente alguna falla en las
base de datos, y de toda la red de la
empresa.
Router Bodega 3
Descripción: Imagen del router
donde se detecta la mala ubicación y
esto genera perdida de la señal wifi
en el sector de la bodega número 3.
Fuente. Autor
Servidores
Descripción: La empresa maneja
dos servidores que tienen sistema
operativo Windows Server 2012,
para almacenar la información y
bases de datos de la empresa
Importronic S.A.
Rack
Descripción: estante metálico cuya
finalidad principal es la de alojar
equipamiento electrónico,
informático y de comunicaciones
donde las medidas para la anchura
están normalizadas para que sean
compatibles con el equipamiento de
cualquier marca o fabricante
Router Bodega 3
Descripción: Se detecta el mismo
problema pero adjuntando que está
mal posicionado y los cables están
mal ponchados.
135
UPS
Descripción: Esta es la UPS que
evita el riesgo de pérdida de
información al momento de
ejecución en caso de fallas eléctricas.
Cableado del Rack
Descripción: podemos observar que
el cableado del rack no está
segmentado adecuadamente y esto
genera fallas al momento de
identificar los activos informáticos
de la empresa en caso de fallas de
red, o de comunicación.
Conexión del router
Descripción: Se detecta la forma
inadecuada de realizar la conexión
eléctrica del router, con añadiduras
que no son las mejores para realizar
este tipo de conexión, y esto genera
que la red pueda tener deficiencias.
 136
9. RECOMENDACIONES

• Actualice y licencie su cortafuegos y antivirus.

• Realice revisión periódica de su listado de contactos y practique la utilización de firma

digital o autenticación del mensaje a través de hash.

• No realice transacciones desde páginas web no confiables

• No instale herramientas de escritorio remoto, siempre y cuando no se almacene un

llavero de claves seguro y confiable.

• Evite conectarse desde redes inalámbricas abiertas que no tienen ninguna seguridad. •
Cerciórese de la información de contacto con el fin de verificar el auténtico originador del
mensaje.

• No descomprima archivos de extensión desconocida sin antes verificar el “vista previa”

el contenido del mismo.

• Elimine correos electrónicos “Spam”, de esta forma evitará ir a sitios web no seguros.

• Actualice los parches de seguridad del navegador web.

• Gestión adecuada de información confidencial y de terceros (títulos financieros,

chequeras, tarjetas, productos crediticios, etc.)

• Implemente servidor de correos electrónicos SPF (Sender Polcy Framework).

Recomendaciones
PYMES:http://www.ccp.gov.co/ciberseguridad/recomendaciones/pymes

10. SUGERENCIAS: En caso de ser víctima no olvide que:

• Debe preservar la página, sitio web, correo electrónico, objeto del ataque, apóyese del
área de sistemas para tomar esta evidencia que será útil dentro de la investigación formal.

• Documente la evidencia recolectada y haga uso de los protocolos de cadena de

custodia.

• Aislé los navegadores no configurados o sin actualizar

• Active la configuración del cortafuegos/filtrado de spam

• No Instale herramientas de acceso remoto o desactive las mismas al momento de dejar

en desuso el equipo de cómputo.

• Revise la configuración del cliente de correo de correo de su empresa de manera

confiable
 137
• Clasifique la Información de su empresa de manera que los ciberdelincuentes no tengan
acceso a información financiera.

• Realice respaldos o Backups de su información

• Haga una lista de chequeo de los sitios web visitados o consultados para que sean
validados como fuentes originales de sitios transaccionales.

• Ajuste me manera periódica las políticas de uso de antivirus

• Revise constantemente la prestación de servicios ante terceros y servicios de soporte