Seguridad de los sistemas de informaciòn

Entendemos por ella el asegurar los recursos del sistema de información en cuestión de una organización, el cual incluye programas; se resguarda de esta forma los datos que se consideran importantes para que no sean vistos por cualquier persona no autorizada.

Desde que la tecnología ha evolucionado son muchas las facilidades que obtenemos cuando se trata de almacenar, analizar o procesar datos, pero también todos estos beneficios conllevan muchas veces a riegos que, en ocasiones, pueden ser críticos para diversas empresas. Día tras días los técnicos más experimentados desarrollan distintas innovaciones en los aspectos de seguridad de sistemas de información para que éstos sean lo menos vulnerable posible; entendemos por “peligro” todo aquello que pueda afectar al funcionamiento de un sistema. El concepto de seguridad informática sigue siendo, para varios entendidos, de carácter utópico, ya que no se ha revelado en la actualidad un sistema que pueda ser 100% seguro, para que la seguridad en sistemas de información sea eficiente debe cumplir con los siguientes requisitos. Un sistema seguro debe constar de disponibilidad, es decir, la información debe estar disponible cuando se la necesita; debe ser íntegro, dicha información no puede ser modificada por personal no autorizado; debe ser confidencial, la información debe ser legible sólo por quienes están autorizados y por último, debe ser irrefutable, su autoría no puede negarse. Para que se pueda establecer seguridad en sistemas de información es necesario intervenir técnicamente a varios niveles, en algunos casos se debe recurrir a criptografía para firmar, cifrar y autentificar; esta es una alternativa para no permitir el robo de la información almacenada.
http://www.maquinariapro.com/sistemas/seguridad-en-los-sistemas-de-informacion.html

Paradigmas organizacionales en cuanto a seguridad

Paradigma: Modelo o ejemplo de algo, En filosofía: Conjunto de ideas filosóficas, teorías científicas y normas metodológicas que influyen en la forma de resolver los problemas en una determinada tradición científica.
Sinónimo: prototipo, muestra, canon.
Los paradigmas desempeñan un papel importante en la actual filosofía de la ciencia, a partir de la obra de Thomas S. Kuhn "La estructura de las revoluciones científicas" (1962).
Del paradigma se desprenden las reglas que rigen las investigaciones. Cuando dentro de un paradigma aparecen anomalías excesivas, se produce una revolución científica que consiste precisamente en el cambio de paradigma
Es muy importante que el auditor conozca los paradigmas que existen en las organizaciones sobre la seguridad, para no encontrarse con un contrincante desconocido.
Entre los principales paradigmas que se pueden encontrar veamos los siguientes:
Generalmente se tiene la idea que los procedimientos de auditoría es responsabilidad del personal del centro de computo, pero se debe cambiar este paradigma y conocer que estas son responsabilidades del usuario y del departamento de auditoría interna.
También muchas compañías cuentan con dispositivos de seguridad física para los computadores y se tiene la idea que los sistemas no pueden ser violados si no se ingresa al centro al centro de computo, ya que no se considera el uso terminales y de sistemas remotos.
Se piensa también que los casos de seguridad que tratan de seguridad de incendio o robo que "eso no me puede suceder a mí" o "es poco probable que suceda".
También se cree que los computadores y los programas son tan complejos que nadie fuera de su organización los va a entender y no les van a servir, ignorando las personas que puedan captar y usarla para otros fines.
Los sistemas de seguridad generalmente no consideran la posibilidad de fraude interno que es cometido por el mismo personal en el desarrollo de sus funciones.
Generalmente se piensa que la seguridad por clave de acceso es inviolable pero no se considera a los delincuentes sofisticados.
Se suele suponer que los defectos y errores son inevitables.
También se cree que se hallan fallas porque nada es perfecto.
Y la creencia que la seguridad se aumenta solo con la inspección.
El siguiente cuadro es una forma apta para llevar este tipo de información. Aunque no puede ser la mejor, pero permite distinguir las ideas que se pretender explicar.

Etapas para implantar un sistema de seguridad en marcha

Para hacer que el plan entre en vigor y los elementos empiecen a funcionar y se observen y acepten las nuevas instituciones, leyes y costumbres del nuevo sistema de seguridad se deben seguir los siguiente 8 pasos:
Introducir el tema de seguridad en la visión de la empresa.
Definir los procesos de flujo de información y sus riesgos en cuanto a todos los recursos participantes.
Capacitar a los gerentes y directivos, contemplando el enfoque global.
Designar y capacitar supervisores de área.
Definir y trabajar sobre todo las áreas donde se pueden lograr mejoras relativamente rápidas.
Mejorar las comunicaciones internas.
Identificar claramente las áreas de mayor riesgo corporativo y trabajar con ellas planteando soluciones de alto nivel.
Capacitar a todos los trabajadores en los elementos básicos de seguridad y riesgo para el manejo del software, hardware y con respecto a la seguridad física.

Beneficios de un sistema de seguridad

Los beneficios de un sistema de seguridad bien elaborado son inmediatos, ya que el la organización trabajará sobre una plataforma confiable, que se refleja en los siguientes puntos:
Aumento de la productividad.
Aumento de la motivación del personal.
Compromiso con la misión de la compañía.
Mejora de las relaciones laborales.
Ayuda a formar equipos competentes.
Mejora de los climas laborales para los RR.HH.

alfredo_jimenez[arroba]megalink.com

Objetivos de la seguridad informatica

Generalmente, los sistemas de información incluyen todos los datos de una compañía y también en el material y los recursos de software que permiten a una compañía almacenar y hacer circular estos datos. Los sistemas de información son fundamentales para las compañías y deben ser protegidos.

Generalmente, la seguridad informática consiste en garantizar que el material y los recursos de software de una organización se usen únicamente para los propósitos para los que fueron creados y dentro del marco previsto.

La seguridad informática se resume, por lo general, en cinco objetivos principales:

• Integridad: garantizar que los datos sean los que se supone que son
• Confidencialidad: asegurar que sólo los individuos autorizados tengan acceso a los recursos que se intercambian
• Disponibilidad: garantizar el correcto funcionamiento de los sistemas de información
• Evitar el rechazo: garantizar de que no pueda negar una operación realizada.
• Autenticación: asegurar que sólo los individuos autorizados tengan acceso a los recursos

Auditoria de seguridad de sistemas de informacion

Una auditoría de seguridad informática o auditoría de seguridad de sistemas de información (SI) es el estudio que comprende el análisis y gestión de sistemas para identificar y posteriormente corregir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.

Una vez obtenidos los resultados, se detallan, archivan y reportan a los responsables quienes deberán establecer medidas preventivas de refuerzo, siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad.

Las auditorías de seguridad de SI permiten conocer en el momento de su realización cuál es la situación exacta de sus activos de información en cuanto a protección, control y medidas de seguridad.

Fases de una auditoria

Los servicios de auditoría constan de las siguientes fases:

• Enumeración de redes, topologías y protocolos
• Identificación de sistemas y dispositivos
• Identificación de los sistemas operativos instalados
• Análisis de servicios y aplicaciones
• Detección, comprobación y evaluación de vulnerabilidades
• Medidas específicas de corrección
• Recomendaciones sobre implantación de medidas preventivas.

http://es.wikipedia.org/wiki/Auditor%C3%ADa_de_seguridad_de_sistemas_de_informaci%C3%B3n

Tipos de auditoria

Los servicios de auditoría pueden ser de distinta índole:

• Auditoría de seguridad interna. En este tipo de auditoría se contrasta el nivel de seguridad y privacidad de las redes locales y corporativas de carácter interno
• Auditoría de seguridad perimetral. En este tipo de análisis, el perímetro de la red local o corporativa es estudiado y se analiza el grado de seguridad que ofrece en las entradas exteriores
• Test de intrusión. El test de intrusión es un método de auditoría mediante el cual se intenta acceder a los sistemas, para comprobar el nivel de resistencia a la intrusión no deseada. Es un complemento fundamental para la auditoría perimetral.
• Análisis forense. El análisis forense es una metodología de estudio ideal para el análisis posterior de incidentes, mediante el cual se trata de reconstruir cómo se ha penetrado en el sistema, a la par que se valoran los daños ocasionados. Si los daños han provocado la inoperabilidad del sistema, el análisis se denomina análisis postmortem.
• Auditoría de páginas web. Entendida como el análisis externo de la web, comprobando vulnerabilidades como la inyección de código sql, Verificación de existencia y anulación de posibilidades de Cross Site Scripting (XSS), etc.
• Auditoría de código de aplicaciones. Análisis del código tanto de aplicaciones páginas Web como de cualquier tipo de aplicación, independientemente del lenguaje empleado

Realizar auditorías con cierta frecuencia asegura la integridad de los controles de seguridad aplicados a los sistemas de información. Acciones como el constante cambio en las configuraciones, la instalación de parches, actualización de los softwares y la adquisición de nuevo hardware hacen necesario que los sistemas estén continuamente verificados mediante auditoría.

http://es.wikipedia.org/wiki/Auditor%C3%ADa_de_seguridad_de_sistemas_de_informaci%C3%B3n

Estandares de auditoria

Una auditoría se realiza con base a un patron o conjunto de directrices o buenas practicas sugeridas. Existen estándares orientados a servir como base para auditorías de informática. Uno de ellos es COBIT (Objetivos de Control de la Tecnologías de la Información), dentro de los objetivos definidos como parámetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estándar podemos encontrar el standard ISO 27002, el cual se conforma como un código internacional de buenas prácticas de seguridad de la información, este puede constituirse como una directriz de auditoría apoyándose de otros estándares de seguridad de la información que definen los requisitos de auditoría y sistemas de gestión de seguridad, como lo es el estándar ISO 27001 analizado por maritee.

Riesgos ante la falla de la seguridad en los sistemas de informacion

Para comprender cómo funciona la seguridad informática debemos entender primero qué es la información y cómo se almacena, es así como delimitamos los riegos; primero debemos ser conscientes de que dicha información se encuentra almacenada y procesada en computadoras, puede ser confidencial para algunas personas que trabajen en empresas y por eso, en afán de conocerla cuando ésta es de índole privada, puede ser robada, mal utilizada o divulgada por personal no autorizado. El activo más importante de cualquier compañía es la información aunque pueda sonar extraño y es esta característica la que hace que los técnicos más eficientes trabajen constantemente en fortalecer la seguridad en sistemas de información; las técnicas desarrolladas para este objetivo otorgan seguridad lógica que consisten en barreras y procedimientos que resguardan el acceso a los datos, permitiendo que solo sean vistos por personal autorizado. Cuando se diseñan los aspectos de la seguridad informática, se hacen pensando en los siguientes factores: se deben actualizar las contraseñas de forma constante, se restringe el acceso a los programas y archivos, los técnicos se aseguran de que los operadores puedan trabajar con cierta información pero que no puedan modificarla, etc.

Terminos relacionados con la seguridad informatica

Activo: recurso del sistema de información o relacionado con éste, necesario para que la organización funcione correctamente y alcance los objetivos propuestos.
Amenaza: es un evento que pueden desencadenar un incidente en la organización, produciendo daños materiales o pérdidas inmateriales en sus activos.
Impacto: medir la consecuencia al materializarse una amenaza.
Riesgo: posibilidad de que se produzca un impacto determinado en un Activo, en un Dominio o en toda la Organización.
Vulnerabilidad: posibilidad de ocurrencia de la materialización de una amenaza sobre un Activo.
Ataque: evento, exitoso o no, que atenta sobre el buen funcionamiento del sistema.
Desastre o Contingencia: interrupción de la capacidad de acceso a información y procesamiento de la misma a través de computadoras necesarias para la operación normal de un negocio.
Aunque a simple vista se puede entender que un Riesgo y una Vulnerabilidad se podrían englobar un mismo concepto, una definición más informal denota la diferencia entre riesgo y vulnerabilidad, de modo que se debe la Vulnerabilidad está ligada a una Amenaza y el Riesgo a un Impacto.

http://es.wikipedia.org/wiki/Seguridad_inform%C3%A1tica

Organismos oficiales de seguridad informatica

Existen organismos oficiales encargados de asegurar servicios de prevención de riesgos y asistencia a los tratamientos de incidencias, tales como el CERT/CC (Computer Emergency Response Team Coordination Center) del SEI (Software Engineering Institute) de la Carnegie Mellon University el cual es un centro de alerta y reacción frente a los ataques informáticos, destinados a las empresas o administradores, pero generalmente estas informaciones son accesibles a todo el mundo.
http://es.wikipedia.org/wiki/Seguridad_inform%C3%A1tica

Algunas afirmaciones erroneas comunes acerca de la seguridad

Mi sistema no es importante para un cracker. Esta afirmación se basa en la idea de que no introducir contraseñas seguras en una empresa no entraña riesgos pues ¿quién va a querer obtener información mía?. Sin embargo, dado que los métodos de contagio se realizan por medio de programas automáticos, desde unas máquinas a otras, estos no distinguen buenos de malos, interesantes de no interesantes, etc. Por tanto abrir sistemas y dejarlos sin claves es facilitar la vida a los virus.
Estoy protegido pues no abro archivos que no conozco. Esto es falso, pues existen múltiples formas de contagio, además los programas realizan acciones sin la supervisión del usuario poniendo en riesgo los sistemas.
Como tengo antivirus estoy protegido. En general los programas antivirus no son capaces de detectar todas las posibles formas de contagio existentes, ni las nuevas que pudieran aparecer conforme los ordenadores aumenten las capacidades de comunicación, además los antivirus son vulnerables a desbordamientos de búfer que hacen que la seguridad del sistema operativo se vea más afectada aún.
Como dispongo de un firewall no me contagio. Esto únicamente proporciona una limitada capacidad de respuesta. Las formas de infectarse en una red son múltiples. Unas provienen directamente de accesos al sistema (de lo que protege un firewall) y otras de conexiones que se realizan (de las que no me protege). Emplear usuarios con altos privilegios para realizar conexiones puede entrañar riesgos, además los firewalls de aplicación (los más usados) no brindan protección suficiente contra el spoofing.
Tengo un servidor web cuyo sistema operativo es un unix actualizado a la fecha: Puede que este protegído contra ataques directamente hacia el núcleo, pero si alguna de las aplicaciones web (PHP, Perl, Cpanel, etc.) está desactualizada, un ataque sobre algún script de dicha aplicación puede permitir que el atacante abra una shell y por ende ejecutar comandos en el unix.
http://es.wikipedia.org/wiki/Seguridad_inform%C3%A1tica

Tecnicas de aseguramiento del sistema

Codificar la información:
Criptología, Criptografía y Criptociencia, contraseñas difíciles de averiguar a partir de datos personales del individuo.
Vigilancia de red.
Tecnologías repelentes o protectoras: cortafuegos, sistema de detección de intrusos - antispyware, antivirus, llaves para protección de software, etc. Mantener los sistemas de información con las actualizaciones que más impacten en la seguridad.

Consideraciones de software
Tener instalado en la máquina únicamente el software necesario reduce riesgos. Así mismo tener controlado el software asegura la calidad de la procedencia del mismo (el software obtenido de forma ilegal o sin garantías aumenta los riesgos). En todo caso un inventario de software proporciona un método correcto de asegurar la reinstalación en caso de desastre. El software con métodos de instalación rápidos facilita también la reinstalación en caso de contingencia.
Existe software que es conocido por la cantidad de agujeros de seguridad que introduce. Se pueden buscar alternativas que proporcionen iguales funcionalidades pero permitiendo una seguridad extra.

Consideraciones de una red
Los puntos de entrada en la red son generalmente el correo, las páginas web y la entrada de ficheros desde discos, o de ordenadores ajenos, como portátiles.
Mantener al máximo el número de recursos de red sólo en modo lectura, impide que ordenadores infectados propaguen virus. En el mismo sentido se pueden reducir los permisos de los usuarios al mínimo.
Se pueden centralizar los datos de forma que detectores de virus en modo batch puedan trabajar durante el tiempo inactivo de las máquinas.
Controlar y monitorizar el acceso a Internet puede detectar, en fases de recuperación, cómo se ha introducido el virus.
http://es.wikipedia.org/wiki/Seguridad_inform%C3%A1tica

Las amenazas

Una vez que la programación y el funcionamiento de un dispositivo de almacenamiento (o transmisión) de la información se consideran seguras, todavía deben ser tenidos en cuenta las circunstancias "no informáticas" que pueden afectar a los datos, las cuales son a menudo imprevisibles o inevitables, de modo que la única protección posible es la redundancia (en el caso de los datos) y la descentralización -por ejemplo mediante estructura de redes- (en el caso de las comunicaciones).
Estos fenómenos pueden ser causados por:
El usuario: causa del mayor problema ligado a la seguridad de un sistema informático (porque no le importa, no se da cuenta o a propósito).
Programas maliciosos: programas destinados a perjudicar o a hacer un uso ilícito de los recursos del sistema. Es instalado (por inatención o maldad) en el ordenador abriendo una puerta a intrusos o bien modificando los datos. Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware.
Un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker, defacer, script kiddie o Script boy, viruxer, etc.).
Un siniestro (robo, incendio, por agua): una mala manipulación o una malintención derivan a la pérdida del material o de los archivos.
El personal interno de Sistemas. Las pujas de poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática
http://es.wikipedia.org/wiki/Seguridad_inform%C3%A1tica

Puesta en marcha de una politica de seguridad

Actualmente las legislaciones nacionales de los Estados, obligan a las empresas, instituciones públicas a implantar una política de seguridad. Ej: En España la Ley Orgánica de Protección de Datos o también llamada LOPD y su normativa de desarrollo.
Generalmente se ocupa exclusivamente a asegurar los derechos de acceso a los datos y recursos con las herramientas de control y mecanismos de identificación. Estos mecanismos permiten saber que los operadores tiene sólo los permisos que se les dio.
La seguridad informática debe ser estudiada para que no impida el trabajo de los operadores en lo que les es necesario y que puedan utilizar el sistema informático con toda confianza. Por eso en lo referente a elaborar una política de seguridad, conviene:
Elaborar reglas y procedimientos para cada servicio de la organización.
Definir las acciones a emprender y elegir las personas a contactar en caso de detectar una posible intrusión
Sensibilizar a los operadores con los problemas ligados con la seguridad de los sistemas informáticos.
Los derechos de acceso de los operadores deben ser definidos por los responsables jerárquicos y no por los administradores informáticos, los cuales tienen que conseguir que los recursos y derechos de acceso sean coherentes con la política de seguridad definida. Además, como el administrador suele ser el único en conocer perfectamente el sistema, tiene que derivar a la directiva cualquier problema e información relevante sobre la seguridad, y eventualmente aconsejar estrategias a poner en marcha, así como ser el punto de entrada de la comunicación a los trabajadores sobre problemas y recomendaciones en término de seguridad.
http://es.wikipedia.org/wiki/Seguridad_informática

Importancia de la seguridad de los sistemas de informaciòn

La seguridad en sistemas de información es un capítulo de constante actualidad hoy en día, lo que no es en absoluto una buena noticia para ningún cliente, que siente como sus sistemas podrían estar expuestos a riesgos similares a los presentados con frecuencia tanto en los medios de comunicación generales como en los especializados.La continua aparición de vulnerabilidades en los sistemas, noticias de accesos no deseados e incluso vulnerabilidades manifiestas en software ampliamente extendido y crítico para el funcionamiento de internet (servidores de DNS, servidores de web), virus informáticos etc., hacen de la seguridad un área de especial foco para el correcto desarrollo de los negocios en esta era digital. Mas allá del acceso a la información y servicios de un usuario final, la integración de internet en los procesos de negocio de una compañía necesita más que nunca de un grado de fiabilidad y confianza en el medio. Sólo cuando ese grado de confianza se alcanza y se mantiene, podrá disminuirse ese gran inhibidor de desarrollo digital que es la sensación de inseguridad.Paradójicamente, el origen primario y la solución última de estos problemas se encuentra en los propios fabricantes de software, hardware, ISV, etc., desde un punto de vista estríctamente tecnológico. Los productos desarrollados por los fabricantes, expuestos a usos no previstos, pueden presentar una respuesta no deseada, que se explotará como vulnerabilidad hasta que el fabricante no corrija el código que lo originó. El nivel de riesgo de esta vulnerabilidad dependerá de varios factores: popularidad de la vulnerabilidad, impacto y simplicidad.Popularidad: ¿cuántas personas conocen esta vulnerabilidad?Impacto: ¿cómo podría afectar su “explotación” al sistema ?Simplicidad: ¿resulta una tarea minuciosa o sencilla el explotarla ?El problema afecta a toda la industria, tal y como se puede comprobar en fuentes reconocidas como Bugtrack o incluso en estudios más exhaustivos llevados a cabo por el FBI (octubre de 2001) y el prestigioso instituto SANS (Systems Administration, Networking and Security, Institute), determinando las 20 vulnerabilidades más críticas y su distribución por plataformas, concluyendo en la siguiente distribución: 7 vulnerabilidades generales; 6 vulnerabilidades Windows; 7 vulnerabilidades Unix.Si el origen está en la propia industria de TI en su conjunto, la solución última también pasa por la responsabilidad de los fabricantes de software, hardware e ISVs en detectar y corregir las vulnerabilidades de su código en un corto periodo de tiempo, idealmente menor que el tiempo de un hacker en explotar y difundir la vulnerabilidad por cualquier medio.Si algo es claro, es que interesa a todos disponer de un entorno seguro de confianza en el que las empresas puedan desarrollar, extender y mantener sus modelos de negocio, aumentar el alcance de sus productos o servicios, disminuir sus costes de integración etc.Dentro de la estrategia global de Microsoft para la empresa (.Net), la seguridad juega un papel crítico en todos y cada uno de sus componentes. La inversión de Microsoft en seguridad ha ido, en consecuencia, cubriendo los distintos frentes tecnológicos para mantener la confianza de los clientes que utilizan su tecnología como soporte de sus negocios.La inclusión de tecnologías de PKI, Kerberos, IPSec, EFS, Directorio Activo en la base del sistema operativo Windows 2000, o la aparición de nuevos productos destinados a la protección perimetral de redes como Microsoft ISA Server, o destinados a maximizar la disponibilidad de las aplicaciones y sistemas como Microsoft Application Center, o programas como Microsoft Data Center (con estrictos contratos de SLA), etcétera, muestran parte de esa inversión tecnológica.Igualmente, los tiempos de respuesta en la detección, reparación y distribución de las actualizaciones de seguridad han disminuido de forma espectacular, como reflejo de las elevadas inversiones que algunos fabricantes han dedicado en tiempo, dinero y recursos.En Microsoft somos muy conscientes de nuestra responsabilidad como parte importante de la industria, y las inversiones en seguridad han ido, en consecuencia, ofreciendo unos tiempos de respuesta muy cortos en la publicación de updates y herramientas. Así, se han realizado inversiones de más de 100 millones de dólares para el desarrollo de herramientas que ayuden a detectar y corregir vulnerabilidades.Pero hay que hacer más, porque la industria lo necesita. Según datos del CERT (Computer Emergency Response Team), el número de incidentes registrados en el periodo Enero-Septiembre de 2001, excedió en un 60% al número registrado en todo el año 2000. Si se tiene en cuenta que el número de incidentes registrados por el citado organismo es una pequeña parte de los ocurridos realmente (no reportados al CERT por imagen o por simple desconocimiento tanto de la existencia del incidente, como del CERT), estamos ante un problema en aumento que requiere la colaboración de todos para su solución.Es el tiempo de los clientes. Nos interesa la seguridad de los negocios de nuestros clientes. Sabemos que es un problema de la industria de IT y como tal debemos movilizarnos. No nos consuela saber que la actualización que hubiera evitado la distribución de un virus como Nimda o Código Rojo estuviera disponible meses antes. Y si no nos consuela es porque tampoco consuela a los clientes afectados. No es tiempo ya de disputas entre fabricantes. No es tiempo ya de los “40 principales” de la vulnerabilidades, las top ten o las ten top. Partamos de esta tesis: “Las vulnerabilidades en todos los sistemas están aquí para quedarse”. Una vulnerabilidad tecnológica puede ser interpretada como la susceptibilidad de un sistema o producto a sufrir daños ante ataques específicos. Exponer un sistema (hardware, software) extremadamente complejo a un uso no previsto, da como resultado una respuesta no deseada. Desde el momento en el que manejamos el concepto “uso no previsto”, debemos concluir en que las vulnerabilidades no desaparecerán en ningún sistema ni fabricante.Y creo que todos los profesionales de las TI llevamos tiempo viviendo esta experiencia y siendo conscientes de ello.Sabemos perfectamente que la información contenida en estas direcciones no son precisamente “recetas de cocina”:[http://www.microsoft.com/security][www-1.ibm.com][sunsolve.sun.com][http://www.sap.com/solutions/technology/sapdb/sap_db_patches.htm][otn.oracle.com][developer.bea.com][http://www.iplanet.com/download/patches]etc..Bien, asúmase esta realidad y póngase al cliente en el centro. Es el tiempo de perseguir con ahínco la invulnerabilidad tecnológica de los sistemas de los clientes, y para ello Microsoft trabajará codo con codo con cualquiera en la búsqueda de soluciones, incluidos nuestros competidores. Para ello, queremos facilitar sobremanera la labor de los responsables de seguridad en TI en cuanto al mantenimiento de sus sistemas actualizados y correctamente configurados mediante la aplicación de este programa. ¿Cómo?El enorme esfuerzo de Microsoft en materia de seguridad se ha venido centrando en la celeridad con la que MS pone a disposición de sus clientes el update correspondiente a la vulnerabilidad detectada. Hablamos del Microsoft Security Response Team, probablemente el mejor equipo de la industria del software para dar respuesta a incidencias de seguridad que afecten a nuestros productos. Sin embargo, esa celeridad no ha sido suficiente para evitar que un virus como Nimda haya podido extenderse meses después. Podríamos conformarnos con decir que “es que los administradores deberían tener actualizados sus sistemas en materia de updates de seguridad” o “es que la política de seguridad de las corporaciones infectadas ha sido insuficiente por no haber contemplado una actualización de software eficiente” o que “el fabricante detectó esa vulnerabilidad y tardó 24 horas en crear y distribuir ese update”, etc. Muy bien, y cualquiera de esas afirmaciones pudiera ser cierta, pero la realidad se impone y la realidad es que los sistemas no se actualizan con la celeridad que se debieran. Sabemos que resulta tremendamente laborioso y penoso para administradores y responsables de seguridad el tener que estar pendiente de cuándo un fabricante publica o deja de publicar un update, especialmente cuando éste tiene sistemas multiplataforma etc”.Para ayudar al administrador en la correcta configuración y actualización de nuestros sistemas en Microsoft vamos a pasar de un modelo “Pull” a un modelo “Push”. Es decir, vamos a pasar del “Ven y cógelo” al “Toma e instálalo” “. En castizo: …” si Mahoma no va a la montaña, la montaña va a Mahoma…” . Para ello, extendemos la inversión que hemos hecho en seguridad para completar el ciclo, es decir, para llegar mas allá del anuncio y publicación del update en la web -que es lo que los fabricantes hacemos ahora-, a fin de llegar hasta los sistemas del cliente de forma efectiva.Queremos que como fruto de la aplicación del programa STPP, a los administradores les resulte muy fácil el tener sus sistemas Microsoft correctamente configurados en términos de seguridad, y perfectamente actualizados.¿Para qué? Para que la selección de plataforma Microsoft en sistemas empresariales y de misión crítica sea una decisión cada vez más apoyada y defendida por los responsables de seguridad, como de hecho comienza a suceder con mayor frecuencia. No hay que olvidar que un sistema bien actualizado y configurado resulta casi impenetrable e invulnerable.
hectors@microsoft.com

Cronica del crimen(delitos en los sistemas de informacion)

• Delitos accidentales e incidentales
  Los delitos cometidos utilizando la computadora han crecido en tamaño, forma y variedad.
  En la actualidad (1994) los delitos cometidos tienen la peculiaridad de ser descubiertos en un 95% de forma casual. Podemos citar a los principales delitos hechos por computadora o por medio de computadoras estos son:
  § fraudes
  § falsificación
  § venta de información
  
  Entre los hechos criminales más famosos en los E.E.U.U. están:
  · El caso del Banco Wells Fargo donde se evidencio que la protección de archivos era inadecuada, cuyo error costo USD 21.3 millones.
  · El caso de la NASA donde dos alemanes ingresaron en archivos confidenciales.
  · El caso de un muchacho de 15 años que entrando a la computadora de la Universidad de Berkeley en California destruyo gran cantidad de archivos.
  · También se menciona el caso de un estudiante de una escuela que ingreso a una red canadiense con un procedimiento de admirable sencillez, otorgándose una identificación como un usuario de alta prioridad, y tomo el control de una embotelladora de Canadá.
  · También el caso del empleado que vendió la lista de clientes de una compañía de venta de libros, lo que causo una perdida de USD 3 millones