Seguridad de los sistemas de informaciòn

Entendemos por ella el asegurar los recursos del sistema de información en cuestión de una organización, el cual incluye programas; se resguarda de esta forma los datos que se consideran importantes para que no sean vistos por cualquier persona no autorizada.

Desde que la tecnología ha evolucionado son muchas las facilidades que obtenemos cuando se trata de almacenar, analizar o procesar datos, pero también todos estos beneficios conllevan muchas veces a riegos que, en ocasiones, pueden ser críticos para diversas empresas. Día tras días los técnicos más experimentados desarrollan distintas innovaciones en los aspectos de seguridad de sistemas de información para que éstos sean lo menos vulnerable posible; entendemos por “peligro” todo aquello que pueda afectar al funcionamiento de un sistema. El concepto de seguridad informática sigue siendo, para varios entendidos, de carácter utópico, ya que no se ha revelado en la actualidad un sistema que pueda ser 100% seguro, para que la seguridad en sistemas de información sea eficiente debe cumplir con los siguientes requisitos. Un sistema seguro debe constar de disponibilidad, es decir, la información debe estar disponible cuando se la necesita; debe ser íntegro, dicha información no puede ser modificada por personal no autorizado; debe ser confidencial, la información debe ser legible sólo por quienes están autorizados y por último, debe ser irrefutable, su autoría no puede negarse. Para que se pueda establecer seguridad en sistemas de información es necesario intervenir técnicamente a varios niveles, en algunos casos se debe recurrir a criptografía para firmar, cifrar y autentificar; esta es una alternativa para no permitir el robo de la información almacenada.
http://www.maquinariapro.com/sistemas/seguridad-en-los-sistemas-de-informacion.html

Paradigmas organizacionales en cuanto a seguridad

Paradigma: Modelo o ejemplo de algo, En filosofía: Conjunto de ideas filosóficas, teorías científicas y normas metodológicas que influyen en la forma de resolver los problemas en una determinada tradición científica.
Sinónimo: prototipo, muestra, canon.
Los paradigmas desempeñan un papel importante en la actual filosofía de la ciencia, a partir de la obra de Thomas S. Kuhn "La estructura de las revoluciones científicas" (1962).
Del paradigma se desprenden las reglas que rigen las investigaciones. Cuando dentro de un paradigma aparecen anomalías excesivas, se produce una revolución científica que consiste precisamente en el cambio de paradigma
Es muy importante que el auditor conozca los paradigmas que existen en las organizaciones sobre la seguridad, para no encontrarse con un contrincante desconocido.
Entre los principales paradigmas que se pueden encontrar veamos los siguientes:
Generalmente se tiene la idea que los procedimientos de auditoría es responsabilidad del personal del centro de computo, pero se debe cambiar este paradigma y conocer que estas son responsabilidades del usuario y del departamento de auditoría interna.
También muchas compañías cuentan con dispositivos de seguridad física para los computadores y se tiene la idea que los sistemas no pueden ser violados si no se ingresa al centro al centro de computo, ya que no se considera el uso terminales y de sistemas remotos.
Se piensa también que los casos de seguridad que tratan de seguridad de incendio o robo que "eso no me puede suceder a mí" o "es poco probable que suceda".
También se cree que los computadores y los programas son tan complejos que nadie fuera de su organización los va a entender y no les van a servir, ignorando las personas que puedan captar y usarla para otros fines.
Los sistemas de seguridad generalmente no consideran la posibilidad de fraude interno que es cometido por el mismo personal en el desarrollo de sus funciones.
Generalmente se piensa que la seguridad por clave de acceso es inviolable pero no se considera a los delincuentes sofisticados.
Se suele suponer que los defectos y errores son inevitables.
También se cree que se hallan fallas porque nada es perfecto.
Y la creencia que la seguridad se aumenta solo con la inspección.
El siguiente cuadro es una forma apta para llevar este tipo de información. Aunque no puede ser la mejor, pero permite distinguir las ideas que se pretender explicar.

Etapas para implantar un sistema de seguridad en marcha

Para hacer que el plan entre en vigor y los elementos empiecen a funcionar y se observen y acepten las nuevas instituciones, leyes y costumbres del nuevo sistema de seguridad se deben seguir los siguiente 8 pasos:
Introducir el tema de seguridad en la visión de la empresa.
Definir los procesos de flujo de información y sus riesgos en cuanto a todos los recursos participantes.
Capacitar a los gerentes y directivos, contemplando el enfoque global.
Designar y capacitar supervisores de área.
Definir y trabajar sobre todo las áreas donde se pueden lograr mejoras relativamente rápidas.
Mejorar las comunicaciones internas.
Identificar claramente las áreas de mayor riesgo corporativo y trabajar con ellas planteando soluciones de alto nivel.
Capacitar a todos los trabajadores en los elementos básicos de seguridad y riesgo para el manejo del software, hardware y con respecto a la seguridad física.

Beneficios de un sistema de seguridad

Los beneficios de un sistema de seguridad bien elaborado son inmediatos, ya que el la organización trabajará sobre una plataforma confiable, que se refleja en los siguientes puntos:
Aumento de la productividad.
Aumento de la motivación del personal.
Compromiso con la misión de la compañía.
Mejora de las relaciones laborales.
Ayuda a formar equipos competentes.
Mejora de los climas laborales para los RR.HH.

alfredo_jimenez[arroba]megalink.com

Objetivos de la seguridad informatica

Generalmente, los sistemas de información incluyen todos los datos de una compañía y también en el material y los recursos de software que permiten a una compañía almacenar y hacer circular estos datos. Los sistemas de información son fundamentales para las compañías y deben ser protegidos.

Generalmente, la seguridad informática consiste en garantizar que el material y los recursos de software de una organización se usen únicamente para los propósitos para los que fueron creados y dentro del marco previsto.

La seguridad informática se resume, por lo general, en cinco objetivos principales:

• Integridad: garantizar que los datos sean los que se supone que son
• Confidencialidad: asegurar que sólo los individuos autorizados tengan acceso a los recursos que se intercambian
• Disponibilidad: garantizar el correcto funcionamiento de los sistemas de información
• Evitar el rechazo: garantizar de que no pueda negar una operación realizada.
• Autenticación: asegurar que sólo los individuos autorizados tengan acceso a los recursos

Auditoria de seguridad de sistemas de informacion

Una auditoría de seguridad informática o auditoría de seguridad de sistemas de información (SI) es el estudio que comprende el análisis y gestión de sistemas para identificar y posteriormente corregir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.

Una vez obtenidos los resultados, se detallan, archivan y reportan a los responsables quienes deberán establecer medidas preventivas de refuerzo, siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad.

Las auditorías de seguridad de SI permiten conocer en el momento de su realización cuál es la situación exacta de sus activos de información en cuanto a protección, control y medidas de seguridad.

Fases de una auditoria

Los servicios de auditoría constan de las siguientes fases:

• Enumeración de redes, topologías y protocolos
• Identificación de sistemas y dispositivos
• Identificación de los sistemas operativos instalados
• Análisis de servicios y aplicaciones
• Detección, comprobación y evaluación de vulnerabilidades
• Medidas específicas de corrección
• Recomendaciones sobre implantación de medidas preventivas.

http://es.wikipedia.org/wiki/Auditor%C3%ADa_de_seguridad_de_sistemas_de_informaci%C3%B3n

Tipos de auditoria

Los servicios de auditoría pueden ser de distinta índole:

• Auditoría de seguridad interna. En este tipo de auditoría se contrasta el nivel de seguridad y privacidad de las redes locales y corporativas de carácter interno
• Auditoría de seguridad perimetral. En este tipo de análisis, el perímetro de la red local o corporativa es estudiado y se analiza el grado de seguridad que ofrece en las entradas exteriores
• Test de intrusión. El test de intrusión es un método de auditoría mediante el cual se intenta acceder a los sistemas, para comprobar el nivel de resistencia a la intrusión no deseada. Es un complemento fundamental para la auditoría perimetral.
• Análisis forense. El análisis forense es una metodología de estudio ideal para el análisis posterior de incidentes, mediante el cual se trata de reconstruir cómo se ha penetrado en el sistema, a la par que se valoran los daños ocasionados. Si los daños han provocado la inoperabilidad del sistema, el análisis se denomina análisis postmortem.
• Auditoría de páginas web. Entendida como el análisis externo de la web, comprobando vulnerabilidades como la inyección de código sql, Verificación de existencia y anulación de posibilidades de Cross Site Scripting (XSS), etc.
• Auditoría de código de aplicaciones. Análisis del código tanto de aplicaciones páginas Web como de cualquier tipo de aplicación, independientemente del lenguaje empleado

Realizar auditorías con cierta frecuencia asegura la integridad de los controles de seguridad aplicados a los sistemas de información. Acciones como el constante cambio en las configuraciones, la instalación de parches, actualización de los softwares y la adquisición de nuevo hardware hacen necesario que los sistemas estén continuamente verificados mediante auditoría.

http://es.wikipedia.org/wiki/Auditor%C3%ADa_de_seguridad_de_sistemas_de_informaci%C3%B3n

Estandares de auditoria

Una auditoría se realiza con base a un patron o conjunto de directrices o buenas practicas sugeridas. Existen estándares orientados a servir como base para auditorías de informática. Uno de ellos es COBIT (Objetivos de Control de la Tecnologías de la Información), dentro de los objetivos definidos como parámetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estándar podemos encontrar el standard ISO 27002, el cual se conforma como un código internacional de buenas prácticas de seguridad de la información, este puede constituirse como una directriz de auditoría apoyándose de otros estándares de seguridad de la información que definen los requisitos de auditoría y sistemas de gestión de seguridad, como lo es el estándar ISO 27001 analizado por maritee.

Riesgos ante la falla de la seguridad en los sistemas de informacion

Para comprender cómo funciona la seguridad informática debemos entender primero qué es la información y cómo se almacena, es así como delimitamos los riegos; primero debemos ser conscientes de que dicha información se encuentra almacenada y procesada en computadoras, puede ser confidencial para algunas personas que trabajen en empresas y por eso, en afán de conocerla cuando ésta es de índole privada, puede ser robada, mal utilizada o divulgada por personal no autorizado. El activo más importante de cualquier compañía es la información aunque pueda sonar extraño y es esta característica la que hace que los técnicos más eficientes trabajen constantemente en fortalecer la seguridad en sistemas de información; las técnicas desarrolladas para este objetivo otorgan seguridad lógica que consisten en barreras y procedimientos que resguardan el acceso a los datos, permitiendo que solo sean vistos por personal autorizado. Cuando se diseñan los aspectos de la seguridad informática, se hacen pensando en los siguientes factores: se deben actualizar las contraseñas de forma constante, se restringe el acceso a los programas y archivos, los técnicos se aseguran de que los operadores puedan trabajar con cierta información pero que no puedan modificarla, etc.