98 CAPITULO IV APLICADO A LOS E-BUSINESS QUE REALIZAN...
Transcript of 98 CAPITULO IV APLICADO A LOS E-BUSINESS QUE REALIZAN...
98
CAPITULO IV
DISEÑO DE UN MOOELO DE SEGURIDAD EB-SECURITY PARA INTERNET APLICADO A LOS E-BUSINESS QUE REALIZAN LAS PEQUEÑAS Y MEDIANAS
EMPRESAS UBICADAS CIBERNÉTICAMENTE EN EL DOMINIO DE EL SALVADOR (.SV)
A. GENERALIDADES DE LA PROPUESTA
La propuesta de solución al problema de inseguridad que enfrentan las Pequeñas y
Medianas Empresas Salvadoreñas al realizar E-Business, está constituida por el
diseño o creación de un Modelo de Seguridad denominado "EB-Security" .
El Modelo de Seguridad EB-Security para Internet aplicado a los E-Business que
realizan las Pequeñas y Medianas Empresas ubicadas cibernéticamente en el
dominio de la Red Salvadoreña SVNET, constituye una herramienta que expone de
manera clara : las causas de la vulnerabilidad en Internet, las formas de acecho a la
información, los métodos de ataque utilizados por los piratas informáticos (hackers),
los tipos de virus, sus formas y sus evoluciones. Presenta también las técnicas para
resolver conflictos generados por la inseguridad en Internet y para reducir el tiempo
involucrado en la búsqueda de soluciones (que se traduce en perdidas económicas)\
cuando ya se ha sido afectado. Destaca, además, la importancia de contar con
medidas de seguridad al realizar E-Business y expone directrices que guiarán
especialmente a los involucrados en la sociedad de) la informática como también a
los usuarios de Internet en general , a disminuir la fragilidad en la Web.
99
B. JUSTIFICACiÓN DE LA PROPUESTA
Dada la internacionalización de la red de redes (Internet), la propuesta del diseño del
Modelo de Seguridad "EB-Security", puede fácilmente tener aplicabilidad para los
distintos actores de los diferentes sectores del país, como también para sus distintas
ramas de actividad económica.
Para fines académicos, los estudiantes encontrarán un prontuario o compendio de
información para sus investigaciones que podrá ser tomado como base para futuros
estudios o investigaciones, facilitando así a los estudiantes el acceso a la información
vertida por instituciones y organizaciones relacionadas con el sector de la Pequeña y
Mediana Empresa en El Salvador. A la vez, contarán con información técnica y de
aplicación para tomar en cuenta en el momento de navegar por la Internet y
asegurarse de que la vulnerabilidad está siendo disminuida.
El hecho de que las Pequeñas y Medianas empresas ubicadas cibernéticamente en
el dominio de la SVNET tengan a su disposición el Modelo de Seguridad EB-Security
para Internet al momento de realizar E-Business, contribuirá a que las operaciones
virtuales sean más confiables y sus sistemas se vuelvan menos vulnerables,
permitiendo que se potencial ice y se aprovechen mejor las ventajas del uso de la
tecnología y los negocios electrónicos.
100
C. IMPORTANCIA DE LA PROPUESTA
Al conducir un vehículo automotor por una carretera existen muchos elementos
alrededor del conductor: otros vehículos, peatones, piedras, baches, y demás que en
un momento determinado y en circunstancias no adecuadas se convierten en
generadores de graves problemas a pesar de que las carreteras estén señalizadas y
existan reglas y limites establecidos de velocidad. Popularmente, a Internet se le ha
denominado la "supercarretera" de la información ; de esta manera, navegar en
Internet se compara a conducir en una autopista; sin embargo: INTERNET no tiene
reglas! Sus controles son escasos y muy fáciles de vulnerar por personas que se
dedican a ello por diversión muchas veces. Los virus, las molestas bromas, los sitios
y las ofertas falsas son algunas de las tantas situaciones a las que se está expuesto
al conectarse a Internet.
Partiendo de lo anterior, la presente propuesta, en primer lugar, da a conocer esos
riesgos y las amenazas, acechos y vulnerabilidades a los que todos los internautas
se ven expuestos al conectarse a Internet. En segundo lugar, se complementa al no
sólo dotar del conocimiento acerca de los riesgos sino también presentar las
soluciones y las medidas de protección a considerar al utilizar Internet y realizar E
Business.
Internet les permite a las empresas ampliar su alcance, así como también incursionar
en nuevos mercados, mejorar la calidad de su oferta por medio de la competencia a
escala global y generar prácticas a favor de una mayor eficiencia dentro de la cultura
empresarial. Por lo tanto, la adecuada implementación de este Modelo de Seguridad
en Internet por parte de las PYMEs les ayudará a éstas a incrementar sus E
Business, ya que generará confianza al incursionar en este tipo de mercados del
mundo globalizado de hoy.
101
D. ALCANCE DE LA PROPUESTA
El alcance de la propuesta puede dividirse de la forma siguiente:
1. Pequeñas y Medianas Empresas
a) Personal Informático
El Modelo de Seguridad EB-Security contiene un apartado especialmente dirigido al
personal del área de informática de las PYMEs, en el cual se cubren temas con un
enfoque mayormente técnico tales como métodos de protección en la Internet,
técnicas para detectar ataques cibeméticos, políticas de seguridad en Internet tales
como neutralización de virus, paredes de fuego (firewalls), encriptación.
b) Personal que Realiza E-Business
En esta sección se cubren temas dirigidos al personal de los sectores de la pequeña
y mediana empresa que llevan a cabo E-Business. Se utiliza un lenguaje no
estrictamente técnico y tópicos de fácil comprensión. Algunos de los temas
expuestos en esta sección son: los virus informáticos, cómo hacer mejores y más
seguros negocios electrónicos, cómo protegerse en Internet.
2. Maestros y Estudiantes
a) Maestros
Los profesores fácilmente pueden encontrar información para ampliar temas
relacionados con Internet, E-Business, Virus, Técnicas de Seguridad, Métodos y
Tipos de Ataques y Políticas de Seguridad.
102
b) Estudiantes
Los estudiantes podrán encontrar en este módulo información que les permita
preparar temas de estudio, de investigación, discusión y demás temas relacionados
con la Seguridad en Internet y los E-Business.
Como consecuencia de la propagación del uso de Internet y la inmensa y variada
información que contiene, ambos grupos maestros y estudiantes se vuelven usuarios
activos de esta herramienta del conocimiento y la investigación, por lo cual ellos
también pueden sacar provecho de las recomendaciones y formas de protección que
se presentan.
103
E. DEFINICiÓN DEL MODELO
Este modelo ha sido denominado "Modelo EB-Security".
El término "EB-Security" es un término compuesto, que de acuerdo con su origen se
compone de tres palabras del idioma inglés: E, del inglés "Electronic" que significa
"Electrónico"; B, del inglés "Business", que significa "Negocios"; y "Secutiiy", que
significa 11Seguridad".
Consecuentemente, el modelo de seguridad EB-Security se define como:
El compendio de directrices, políticas, técnicas y métodos que proporcionan a la
Pequeña y Mediana empresa salvadoreña la orientación y capacidad para protegerse
con medidas de segundad al realizar E-Business.
104
F. OBJETIVOS DEL MODELO
1. General
Dotar a las Pequeñas y Medianas Empresas (PYMEs) que realizan E-Business de un
Instrumento que les capacite en el conocimiento adecuado respecto a la Seguridad
en Internet y les proporcione la oportunidad de hacer negocios electrónicos más
confiables.
2. Específicos
1.1 Poner a disposición de las Pequeñas y Medianas Empresas (PYMEs) un
compendio de directrices de seguridad para aplicar al momento de realizar E
Business.
1.2 Dotar a las Pequeñas y Medianas Empresas (PYMEs) de conocimiento útil
respecto a los ataques y riesgos a los que se está expuesto al hacer uso de
Internet.
1.3 Facilitarle al público interesado en el tema de E-Busíness y Seguridad en Internet
una herramienta para su estudio.
- - ---- - - - - - --- - ------
lOS
G. ESQUEMA DEL MODELO
.,",
FASE I [.
-- -............................•...- ' - ,
l_>l_A_G_J_O.STICO DE LA SEG URIDAD _N LOS E-BUS I NES~
VIRUS
VULNERABILIDAD
ACECHOS
AAlENAZIIS
E V A L U A e I o N
FASE 11 ,- _ ..--- _._
MEDIDAS DE SEGU lOAD PARA PE SO N
In
-- , -- -----
- - --;===========:::::::;- _. _ ...-
L INFORMA T1 C(
FASE=-I~V_ _ --I- -J
FASE 11I
¡- - - _ .--;======.::....:======:;--.._- _ ...- .
S E E B G U U S R I I N D E A S o s
CONFIABILlDAD EN LOS E-BUSINE SS ]
ECONOMIASOCIEDAD NACIONAL
- ,
R E T R o A L I M E N T A e I o N
106
H. CONTENIDO DEL MODELO
1. Diagnóstico del Estado Actual de la Seguridad en los E-Business realizados por las PYMEs
Los resultados de la investigación de campo realizada a las PYMEs durante el mes
de noviembre del año dos mil dos, respecto a los E-Business y la seguridad en
Internet, evidenciaron los aspectos siguientes:
1.1 Factores de Vulnerabilidad en Internet
De acuerdo con la investigación de campo realizada al sector de las Pequeñas y
Medianas Empresas que tienen registrado su sitio web en la SVNET, los aspectos
descuidados son principalmente los aspectos "del conocimiento y del saber" : un alto
porcentaje de las empresas investigadas manifestó que nunca han promovido ningún
tipo de enseñanza y muchos menos capacitación formal respecto a Internet: sus
usos, cuidados, riesgos y seguridad propiamente, por lo cual el factor más
determinante de vulnerabilidad en la utilización de Internet por parte de las Pequeñas
y Medianas Empresas Salvadoreñas es el "desconocimiento" acerca de todas las
amenazas, acechos, fraudes y riesgos a los que se está expuesto.
Igualmente importante se vuelve la auditoria informática, otro factor desatendido
dentro del sector de la Pequeña y Mediana Empresa salvadoreña. Muchas
empresas en este sector simplemente desconocen el significado de este término y
otras creen saber qué es, basándose en la auditoria tradicional que conocen. El bajo
porcentaje de empresas que realizan auditoria informática coincide con el tipo de
servicios que ofrecen; es decir, las empresas que respondieron que llevan a cabo
auditoría informática son empresas dedicadas mayormente a la venta de sistemas
(software) y soluciones informáticas, empresas propias del quehacer informático; e
incluso a pesar de esto, el porcentaje de incidencia fue muy bajo , totalizando un
27%.
107
El 80% de los encuestados manifestaron que no rechazan la propaganda no
solicitada y llega a su computadora; es decir, activan y se enlazan a las ventanas que
aparecen súbitamente (pop-up) en la pantalla de la computadora Éstas, en su
mayoría, brindan propuestas ambiciosas y muy atractivas, pero en realidad al
enlazarse al sitio web de donde han sido enviadas le mencionan al usuario todas las
demás implicaciones que incluyen, muchas de ellas generalmente económicas y muy
por encima de la atractiva oferta que contenía el pop-up; esto en el mejor de los
casos; en otros, los enlaces llevan a sitios de engaño o diversión de los hackers.
1.1.1 Métodos de Ataque
Los métodos de ataque que se describen a continuación están divididos en
categorías generales que pueden estar relacionadas entre sí, ya que el uso de un
método en una categoría permite el uso de otros métodos en otras. Por ejemplo:
después de descubrir o averiguar (craquear) una clave (password), un intruso realiza
un login como usuario legítimo para navegar entre los archivos y explotar
vulnerabilidades del sistema. Eventualmente también, el atacante puede adquirir
derechos a lugares que le permitan dejar un virus u otras bombas lógicas, introducir
un programa que en una fecha determinada destruirá, modificará la información o
provocará que el sistema se caiga para paralizar todo un sistema antes de huir .
a) Eavesdropping y Packet Sniffing (Intercepción Pasiva y Detectores de Paquetes de Red)
Muchas redes son vulnerables al eavesdropping, o la pasiva intercepción (sin
modificación) del tráfico de red. En Internet esto es realizado por packet sniffers,
que son programas que monitorean los paquetes de red que están direccionados a la
computadora donde están instalados. El sniffer puede ser colocado tanto en una
estación de trabajo conectada a red, como a un equipo router (enrutador) o a un
108
gateway de Internet, y esto puede ser realizado por un usuario con legítimo acceso, o
por un intruso que ha ingresado por otras vías.
Este método es muy utilizado para capturar las identificaciones de usuarios y sus
correspondientes claves de acceso a la red, que generalmente viajan claros (sin
encriptar) al ingresar a Sistemas de Acceso Remoto (RAS) . También son utilízados
para capturar números de tarjetas de crédito y direcciones de e-mail entrantes y
salientes. El análisis de tráfico puede ser utilizado también para determinar
relaciones entre organizaciones e individuos.
b) Snooping y Downloading (Intromisión y Descarga)
Los ataques de esta categoría tienen el mismo objetivo que el sniffing, obtener la
información sin modificarla. Sin embargo los métodos son diferentes. Además de
interceptar el tráfico de red, el atacante ingresa a los documentos, mensajes de e
mail y otra información guardada, realizando en la mayoría de los casos una
descarga (downloading) de esa información a su propia computadora.
El Snooping puede ser realizado por simple curiosidad, pero también es realizado
con fines de espionaje y robo de información o software.
e) Tampering o Data Diddling (Manipulación o Alteración de Datos)
Esta categoría se refiere a la modificación desautorizada de los datos, o al software
instalado en un sistema, incluyendo la eliminación de archivos. Este tipo de ataques
son particularmente serios cuando el que lo realiza ha obtenido derechos de
administrador o supervisor, con la capacidad de ejecutar cualquier comando y por
ende alterar o borrar cualquier información que puede incluso terminar en la baja
total del sistema en forma deliberada. O aún si no hubo intenciones de ello, el
administrador posiblemente necesite dar de baja por horas o días hasta haber
109
efectuado una revisión completa y tratar de recuperar aquella información que ha
sido alterada o borrada .
La utilización de programas troyanos está dentro de esta categoría, y refiere a falsas
versiones de un software con el objetivo de averiguar información, borrar archivos y
hasta tomar control remoto de una computadora a través de Internet como el caso de
Back Orifice y NetBus , conocidas como herramientas del orificio trasero. El Back
Orifice (Orificio Trasero) es una herramienta que consiste en dos partes principales,
la del cliente y la del uso del servidor, puede ser utilizada por un usuario sin
escrúpulos (atacante) para comprometer la seguridad de Windows, por ejemplo,
robar documentos secretos o destruir datos. El Troyano Netbus es uno de los
programas troyanos más famosos. Fue creado por Carl-Frederik Neikter y funciona
de manera muy similar al Back Orifice .
d) Spoofing (Usurpación de Identidad)
Esta técnica es utilizada para actuar en nombre de otros usuarios, usualmente para
realizar tareas de spoofing o tampering. Una forma común de usurpación de
identídad (spoofing) , es conseguir el nombre y password de un usuario legítímo para,
una vez ingresado al sistema, tomar acciones en nombre de él, como puede ser el
envío de falsos e-maíls.
Los protocolos de red también son vulnerables al spoofing. Con el IP spoofing, el
atacante genera paquetes de Internet con una dirección de red falsa en el campo
From (De), pero que es aceptada por el destinatario del paquete. El envío de falsos
e-mails es otra forma de spoofing permitida por las redes. Aquí el atacante envía a
nombre de otra persona e-mails con otros objetivos. Tal fue el caso de una
universidad en EEUU que en 1998 debió reprogramar una fecha completa de
exámenes ya que alguien en nombre de la secretaría había cancelado la fecha
verdadera y enviado el mensaje a toda la nómina (163 estudiantes).
110
e) Jamming o Flooding (Atascamiento o Desbordamiento)
Este tipo de ataques desactivan o saturan los recursos del sistema. Por ejemplo, un
atacante puede consumir toda la memoria o espacio en disco disponible, también
pueden enviar tanto tráfico a la red que nadie más puede utilizarla.
Muchos ISPs (proveedores de Internet) han sufrido bajas temporales del servicio por
ataques que explotan el protocolo TCP. Aquí el atacante satura el sistema con
mensajes que requieren establecer conexión. Sin embargo, en vez de proveer la
dirección IP del emisor, el mensaje contiene falsas direcciones IP (o sea que este
ataque involucra también spoofing). El sistema responde al mensaje, pero como no
recibe respuesta, acumula espacios (buffers) con información de las conexiones
abiertas, no dejando lugar a las conexiones legítimas.
Otra acción común es la de enviar millares de e-mails sin sentido a todos los
usuarios posibles en forma continua, saturando los distintos servidores destino.
f) Caballos de Troya
Consiste en introducir dentro de un programa una rutina o conjunto de instrucciones,
por supuesto no autorizadas y que la persona que lo ejecuta no conoce , para que
dicho programa actúe de una forma diferente a como estaba previsto, por ejemplo
formatear el disco duro, modificar un fichero, sacar un mensaje.
g) Bombas Lógicas
Este suele ser el procedimiento de sabotaje mas comúnmente utilizado por
empleados descontentos. Consiste en introducir un programa o rutina que en una
fecha determinada destruirá, modificará la información o provocará que el sistema se
caiga.
111
h) Ingeniería Social
Básicamente consiste en convencer a la gente de que haga lo que en realidad no
debería. Por ejemplo llamar a un usuario haciéndose pasar por administrador del
sistema y requerirle la clave de acceso con alguna excusa convincente. Esto es
común cuando en el Centro de Cómputo los administradores son amigos o conocidos
de los usuarios.
i) Obtención de Claves
Este método (usualmente denominado cracking), comprende la obtencion "por fuerza
bruta" de aquellas claves que permiten ingresar a servidores, aplicaciones, y
cuentas. Muchas claves de acceso son obtenidas fácilmente porque involucran el
nombre u otro dato familiar del usuario, que además nunca la cambia . En este caso
el ataque se simplifica e involucra algún tiempo de prueba y error. Otras veces se
realizan ataques sistemáticos (incluso con varias computadoras a la vez) con la
ayuda de programas especiales y "diccionarios" que prueban millones de posibles
claves hasta encontrar el password correcto.
1.2 Virus Informáticos
Entrevistas realizadas a distintos empresarios y empleados (noviembre de 2002)
involucrados con el desarrollo de E-Business en las PYMEs, dejaron notar los
problemas, preocupaciones, atrasos e inconvenientes que los virus informáticos
obtenidos vía algún correo electrónico les han ocasionado, para nombrar algunos de
los virus que los empresarios han identificado se mencionan los siguientes: Ethan , 1
Love You, W32 .Klez.E, W97M, W32 y demás de la familia de los virus que afectan
directamente a los archivos de Microsoft Office.
En las empresas en las que se cuenta con un sistema de redes (computadoras
interconectadas entre sí a través de un cable) las crisis se reproducen de
112
computador a computador, por lo que la dimensión del problema ocasionado por
virus se multiplica.
También se destacan los correos electrónicos (e-mail) recibidos en forma de cadena:
los empresarios coinciden en que muchos de los correos electrónicos recibidos de
esta forma contenían virus . Similar a este engaño es el de enviar correos
electrónicos recomendando alguna forma de mejorar el funcionamiento de la
computadora "sugiriendo al lector del e-mail que borre algún archivo que se
encuentran en la computadora", Aquí, la verdadera motivación de este mensaje es
dañar el funcionamiento de la computadora borrando un archivo básico de
funcionamiento del sistema operativo.
La diversidad de los virus informáticos y su fácil propagación son situaciones reales
experimentadas por los empresarios y empleados de las PYMEs.
Algunos de los tipos de engaño que navegan de un lugar del mundo a otro son:
a) Advertencia de Virus: Se alerta sobre la aparición de un peligroso virus que nadie
puede detener. Para evitar una desgracia hay que reenviar el mensaje al mayor
número de personas posible.
b) Estafa: Con pretextos bien elaborados, el remitente solicita datos personales de la
víctima, como claves secretas y números de tarjetas de crédito.
e) Triste situación: La terrible historia que le sucedió al conocido de un amigo. Esa
persona necesita de la ayuda del destinatario del mensaje para superar el problema.
d) Leyenda Urbana: el relato de algo extraordinario -y falso- que sucedió en algún
lugar del mundo.
113
e) Cadena : Si el destinatario no reenvía la carta virtual en el menor tiempo posible, la
mala suerte le acompañará durante años.
1.3 Medidas de Seguridad
Más de un tercio (36%) de la población encuestada manifestó que no saben o no
tienen conocimiento de que en la empresa se apliquen medidas de seguridad al
realizar E-Business. Este aspecto es también importante debido a que los individuos
que proporcionaron la información para el instrumento de investigación
(cuestionario) fueron personas con conocimientos de informática en su mayoría y/o
personas directamente involucradas con los E-Business, por lo que deberían estar al
tanto de todos los aspectos relacionados con esta forma de hacer negocios.
El porcentaje más alto (34%) en cuanto a las medidas de seguridad que las PYMEs
toman en cuenta al realizar E-Business fue: Su correo electrónico tiene clave de II
seguridad', una medida de protección contra los curiosos compañeros de trabajo
que están dentro de las empresas. Lo único que una clave de seguridad de un
correo electrónico logra es eso: impide que una persona que no conozca la palabra
clave (password) pueda abrir un correo electrónico y por ende leer su contenido.
Evidentemente, el resguardo de la información y la confidencialidad cobran
importancia conforme lo dispongan las políticas de la empresa y de acuerdo con el
grado de trascendencia que esa información (la recibida y enviada por correo
electrónico) tenga dentro de la empresa .
Las Pequeñas y Medianas Empresas, como entes dispuestos a procurar nuevos
negocios no pueden, ni deben abiertamente rechazar correos electrónicos de
remitentes desconocidos puesto que es posible que, por temor a recibir un virus
contenido en un correo electrónico, rechacen a un cliente potencial y hagan a la
114
empresa perder un negocio. A pesar de esto, 17% de las repuestas obtenidas en
este aspecto dieron a conocer que por temor se rechazan correos electrónicos de
remitentes desconocidos.
Un reducido porcentaje (29%) no ingresa a sitios de dudoso origen o procedencia, el
cual es un dato alarmante desde el punto de vista en que esta práctica abiertamente
aumenta el grado de vulnerabilidad dentro de la empresa. Sería comparable a
conducir un vehículo de la empresa en horas laborales y dirigirse a un lugar
desconocido, apagar el motor, bajarse y quedarse inspeccionando, deambulando sin
propósito alguno más que el de la curiosidad y la atracción a lo desconocido. Esto
expone al incauto empleado a que cualquier persona del lugar dañe el vehículo que
es posesión de la empresa, lo robe o le haga daño incluso al curioso e ingenuo
empleado. En la medida en que se comprendan las implicaciones negativas y lo
peligroso que se puede volver andar navegando por Internet sin dejar por ello de
aprovechar adecuadamente el potencial de este increíble medio para hacer
negocios, los riesgos innecesarios se verán considerablemente reducidos.
Sumado a todo lo anterior, los fraudes informáticos y las estafas ocupan un lugar
muy destacado en la tipología de los delitos telemáticos (los relacionados con la
información y la comunicación a distancia). El engaño ofrece tal variedad de matices
entre quien lo provoca y quien lo sufre , que dentro del medio informático y/o
telemático y todas sus posibilidades se genera una combinación tipológica muy fuera
del alcance de los encargados de resolver conflictos de este tipo . Si a ello se
añaden las variables temporales y la escasez de contexto legal de El Salvador, junto
a los de cualquier otro país con los que se realizan transacciones que involucran
conflictos de jurisdicción, es sumamente difícil que una PYME inicie alguna batalla
legal en contra del perpetrador, para ser resarcido de un engaño del que haya sido
objeto.
115
2. Medidas de Seguridad dirigidas al Personal de Informática de las PYMEs
Para una mejor comprensión, las medidas de seguridad han sido divididas en:
Métodos de Protección, Técnicas para Detectar Ataques y Políticas de Seguridad.
2.1 Métodos de Protección en Internet
Toda organización debe estar a la vanguardia de los procesos de cambio en donde
disponer de información continua, confiable y a tiempo, esto constituye una ventaja
fundamental ante las demás empresas. Donde tener información es tener poder,
ésta se reconoce como:
• Crítica, indispensable para garantizar la continuidad operativa de la
organización.
• Valiosa, es un activo corporativo que tiene valor en sí mismo.
• Sensitiva, debe ser conocida por las personas que necesitan los datos .
Donde identificar los riesgos de la información es de vital importancia, la seguridad
informática debe garantizar:
• La Disponibilidad de los sistemas de información.
• La Integridad y Autenticidad de la información.
• La Confidencialidad de la información.
• La Recuperación rápida y completa de los sistemas de información
La Propuesta que se presenta es la siguiente.
2.1.1 Utilización del Modelo de Seguridad EB-Security
La Implementación de este Modelo se describe en el numeral 4 de este documento
en la sección "Plan de Implementación del Modelo", por 10 que en este apartado
116
solamente se expondrá como adecuar el modelo a la organización y a la
particularidad de cada empresa.
El Encargado, Jefe o Gerente de Informática necesitará estudiar el Modelo y seguir
los pasos mencionados en el Plan de Implementación del Modelo de Seguridad EB
Security, en el cuarto apartado de este Capítulo.
2.1.2 Cultura de la Seguridad en los E-Business
Más que un problema de tecnología, la falta de seguridad en el uso de Internet y la
transmisión de la información por la Red se debe a la falta de cultura de las
organizaciones y de las personas que la integran.
El eslabón más débil de esta cadena en la seguridad lo constituye el ser humano y
no tanto lo tecnológico, destacándose así la importancia de tener una cultura de
seguridad, ya que en la mayoría de empresas no existe una persona que sea
responsable de la seguridad y probablemente transcurra algún tiempo para que las
organizaciones se den cuenta de que necesitan contar con ella .
A todos los usuarios se les deben comunicar las políticas de seguridad , además de
hacer constantes auditorías para controlar que las políticas sean las adecuadas para
el momento que vive la empresa.
Lo que se necesita no es solamente prevenir un ataque en la seguridad, sino ser
capaces de detectar y responder a esta agresión mientras ocurre y reaccionar ante la
misma protegiendo la información como un todo vital para la empresa. En la medida
en que los empleados desarrollen ética y lealtad para salvaguardar los intereses de
la empresa se contará con empleados que acatarán las normas y poi ítlcas de
seguridad, haciendo así menos vulnerable a la empresa ante las amenazas en el uso
del Internet.
117
2.1.3 La Legislación en el Uso de Internet
El contexto legislativo en el uso de Internet es de suma importancia ya que las leyes
son las que regulan y norman jurídicamente el accionar de las empresas y sus
relaciones, y las relaciones a través de Internet no deben ser la excepción. Como se
ha venido exponiendo, El Salvador ha registrado intromisiones a reconocidos sitios
web salvadoreños; estos delincuentes, piratas, realizan actos como sabotaje
informático, estafas, pornografía infantil , chantajes y demás actos similares.
Lamentablemente, este tipo de delitos cibernéticos no están contemplados en el
Código Penal; es decir, el Estado Salvadoreño no tiene formas expeditas para
sancionar a los delincuentes modernos.
No obstante, muchos legisladores coinciden en que es necesario estudiar a fondo el
tema de la vigilancia cibernética, de los negocios que venden servicios de Internet y
las formas de comercializar a través de esta Red Internacional.
Las PYMEs deben mantenerse vigilantes respecto al surgimiento de estas nuevas
leyes.
2.2 Técnicas para Detectar y Evitar Ataques Cibernéticos
Antes de exponer las técnicas para detectar ataques en Internet, se ha considerado
importante explicar las razones por las cuales ocurren los ataques; en otras
palabras, las razones que motivan a los piratas informáticos.
• Ideales. Un grupo de hackers chinos atacaron los web sites de Estados Unidos
de América debido a un incidente entre ambos países . Por esta misma razón
también se produjeron contraataques. A veces , esta razón no es más que una
excusa, pues suena mejor "lo hice por el honor de mi país" que "lo hice porque
uno de sus hackers me quitó un servidor".
118
• Codicia, competencia, robo, venganza. El clásico material de película. Una
compañía que quiere robar los proyectos de una rival, un inescrupuloso
programador que quiere hacerse millonario por medio de chantaje a un banco, un
travieso hacker que se apodera de los datos de las tarjetas de crédito para luego
hacer compras, un terrorista que roba los datos del personal de una institución
pública, un empleado disgustado con su jefe introduce un gusano en el sistema,
que es un programa diseñado para infiltrarse en sistemas de datos para alterarlos
o destruirlos.
• Negligencia. Un ejemplo muy irónico lo ofreció Microsoft hace dos años cuando
un hacker anunció públicamente que había penetrado en la red de la compañía,
aprovechando un punto vulnerable de sus servidores. Lo irónico es que esta
vulnerabilidad ya había sido identificada y corregida por la compañía, sólo que los
administradores del sistema no aplicaron el correspondiente parche, programa
que corrige errores en los programas ya creados.
Un ataque no es más que la realización de una amenaza, Las cuatro categorías
generales de amenazas o ataques son las siguientes:
a) Interrupción: Cuando un recurso del sistema es destruido o se vuelve no
disponible. Este es un ataque contra la disponibilidad. Ejemplos de este ataque son
la destrucción de un elemento hardware, como un disco duro. cortar una línea de
comunicación o deshabilitar el sistema de gestión de ficheros.
b) Intercepción: Cuando una entidad no autorizada consigue acceso a un recurso.
Este es un ataque contra la confidencialidad. La entidad no autorizada podría ser
una persona, un proqrarna o un ordenador. Ejemplos de ~ste ataque son la copla
ilícita de ficheros o programas (intercepción de datos), o bien la lectura de las
cabeceras de paquetes para desvelar la identidad de uno o más de los usuarios
implicados en la comunicación observada ilegalmente (intercepción de identidad).
119
c) Modificación: Cuando una entidad no autorizada no sólo consigue acceder a un
recurso, sino que es capaz de manipularlo. Este es un ataque contra la integridad.
Ejemplos de este ataque Son el cambio de valores en un archivó de datos, alterar un
programa para que funcione de forma diferente y modificar el contenido de mensajes
que están siendo transferidos por la red.
d) Fabricación: Cuando una entidad no autorizada inserta objetos falsificados en el
sistema. Este es un ataque contra la autenticidad, que es la certeza de que un
mensaje o un usuario es legitimo. Ejemplos de este ataque son la inserción de
mensajes ilegítimos en una red o añadir registros a un archivo .
Asimismo, estos ataques se pueden clasificar de forma útil en términos de ataques
pasivos y ataques activos.
En los ataques pasivos el atacante no altera la comunicación, sino que únicamente la
escucha o monitoriza, para obtener información que está siendo transmitida. Sus
objetivos son la intercepción de datos y el análisis de tráfico, una técnica más sutil
para obtener información de la comun icación, que puede consistir en obtención del
origen y destinatario de la comunicación, leyendo las cabeceras de los paquetes
monitorizados, control del volumen de tráfico intercambiado entre las entidades
monitorizadas, obteniendo así información acerca de actividad o inactividad
inusuales, control de las horas habituales de intercambio de datos entre las
entidades de la comunicación, para extraer información acerca de los períodos de
actividad.
Los ataques pasivos son muy difíciles de detectar, ya que no provocan ninguna
alteración de los datos. Existen varias categorías de ataques activos: Suplantación
de identidad, Reactuación (mensajes legítimos que son capturados y repetidos para
producir un efecto no deseado), Modificación de mensajes y Degradación fraudulenta
del servicio. En esta última se encuentran la denegación de servicio, consistente en
paralizar temporalmente el servicio de un servidor de correo, Web, FTP, entre otros .
120
Para evitar posibles ataques informáticos contra un servidor existen diversos
sistemas técnicos. Entre ellos destacan los firewalls (paredes de fuego) que serán
explicados posteriormente; éstos intentan proteger a una máquina de posibles
accesos por parte de personas no autorizadas, aunque en determinados casos este
sistema de seguridad se rompe o quiebra ya que hay personas (hackers) que saben
esquivarlos. En la tabla IV.1 se presentan algunos nombres de programas utilizados
para piratear.
NOMBRE DEL ¡- DESCRIPCiÓN lSiSTEMA r PROGRAMA I IOPERATIVO ¡cracke'rJack 1.4- - - -IDecodificad-orde-clave'Sde unix·:- - -----·- -- --· -----·-----·-[o-os- -···----ISrute F~rece 1.1- --- -[OecodTricador de clave-SUñi~------------------rDos----
rSohñt h-e Ripper 1--:-'¡--!Decocjitiéador de clave Uni~~ " '---1008--'ru n i ~~ · IBu~;a pe~~~n;;;mporta~~:-~~~n fic~ero cl~'ve ~e u~:---·l pássword--·---~ · -¡I~~s analzer
oI[CraCk ~~X_ [Decodiflca ficheros cnx del software de infovía para Win3.x.,_ [Dos ---=--._~' -IPopcrack v1 .0 fCracker del Popmail Clave. ¡Dos IPhonetag v1~3-----TEscarieado r de-telefon(js·~----------- .. ..-..- _·-- -··------ ¡windows·- -
K 1 ~-~_;~~~- .- -[c apturador de teclado. En 'el-archivo"ffgurantod-as las te-clas-l~~-~~/N~--ey 09 v - pulsadas. In
!lOphlCrack 2JJ1- - --rRObarclaves M·-wiñdüWs·Ni -.- _....-. - - .--.-..- ----- ··----rW951NT - ·--Winsock s vO .91 [SUbstit~ye .el fichero wsock32.dll para espiar las IW9s
py [cornunlcaclones 1\ [satañv1'.1.1 fHe'rramienta para detectar posibie·sf~illas-desegurTdad-- ---¡üNiX. -INetcat v1.1.0 [Herramienta que escribe y lee datos de conexIones TCP/IP. !W9S/UNIX r~:Ú1Cker;slJti liiy"_. .-.[MuchaSütiikiadeSidecüdifiCadcire·5'""decls"v·es------ --- ----·---·--·-fwi ñ9s/ÑT···-
g~~:t~~cÜonary--IGenerador de listas, o diccionarios para crackeadores de claves fOs ¡DiccionariO- ¡DiCCionariO muy-gr:anc¡equeutiíiZ'an¡'os crackeadores de claves. [008---
Tabla fV .1 Listado de Programas Comunes utilizados para piratear
2.1.1 Criptogratra
La palabra Criptografía proviene del griego kryptos, que significa oculto , y gráphein,
que significa escritura, siendo así su definición: "Arte de escribir con clave secreta o
de un modo enigmático".
121
Obviamente la Criptografía hace años que dejó de ser un arte para convertirse en
una técnica, o más bien un conglomerado de técnicas, que tratan sobre la protección
-ocultamiento frente a observadores no autorizados- de la ínformaci6n . Entre las
disciplinas que engloba cabe destacar la Teoría de la Información , la Teoría de
Números -o Matemática Discreta, que estudia las propiedades de los números
enteros-, y la Complejidad Algorítmica.
a) Criptografía de clave simétrica o cifrado simétrico .
Esta técnica consiste en el cifrado de unos datos con una clave y el posterior
descifrado de los mismos que se llevará a cabo por esa misma clave . Este conlleva
una serie de ventajas e inconvenientes. Entre las ventajas destaca la velocidad que
hace que los algoritmos que se utilizan son los más apropiados para el cifrado de
grandes cantidades de datos. En cambio, el inconveniente principal reside en la
necesidad de distribuir esta clave, por lo que si alguien la consiguiera tendría la
posibilidad de descifrar el mensaje.
b) Criptografía de clave asimétrica o cifrado asimétrico.
Aquí van a existir un par de claves : una pública, que pueden conocer todos los
usuarios y una privada, que sólo la conocerá un usuario . Esta técnica lo que hace es
cifrar un mensaje con la clave pública de un usuario y ese mismo mensaje s610 podrá
ser descifrado con la clave privada de ese usuario. Con esto se ve que lo que se cifra
con una clave sólo se puede descifrar con la otra. La ventaja que existe es que si se
conoce la clave pública no significa que se pueda descifrar el mensaje, y la
desventaja es que la operación de cifrado y descifrado es más lenta que en la
criptografía simétrica .
Además, en la criptografía de clave asimétrica hay un elemento que cobra especial
trascendencia, como es el llamado certificado digital que, básicamente, va a
garantizar que una clave pública pertenece a una persona en concreto.
122
El cifrado de clave asimétrica va a garantizar: 1) que el autor de un mensaje no haya
sido suplantado al enviarlo a través de redes abiertas de comunicaciones (Internet);
2) que el mensaje no sea alterado durante esta transmisión; 3) que el receptor del
mensaje asegure haberlo recibido y 4) que el contenido del mensaje sea leído por
una persona autorizada.
2.1.2 Sistemas de Detección de Intrusos (105, "Intruder Detection Systems")
Estos sistemas permiten detectar ataques que pasan inadvertidos a un cortafuegos y
avisar antes o justo después de que se produzcan .
Las similitudes entre el sistema de seguridad para un inmueble físico (muros, verjas
electrificadas, blindajes, alarmas, cámaras de circuito cerrado de TV y demás) y una
red de ordenadores son lo suficientemente numerosas y profundas como para
tenerlo presente. De la comparación de ambas se pueden inferír conclusiones muy
aleccionadoras para la protección de una red informática dentro de una empresa.
Actualmente, la estrategia de control de intrusos más utilizada es la perimetral,
basada en la utilización de cortafuegos. Estos sirven para mantener fuera a los
intrusos ; es decir, sirven al propósito de prevenir ataques o intrusiones en la red
interna protegida por ellos. Pero una puerta blindada no impide que un ladrón se
cuele por otro lado (una ventana, un conducto de ventilación) o que la propia puerta
se use de forma negligente (las llaves debajo de una maceta, la puerta entreabierta
para no tener que andar abriendo y cerrando a todo el que llega, un agujero debajo
de la manilla, etc.). Lo peor de todo es que se cuenta con protección y el propietario
se siente seguro; sin embargo sin una alarma y guardias de seguridad o vecinos
comprometidos, esa seguridad puede ser falsa y la puerta le servirá de bien poco
ante el ladrón profesional.
Pese a que, innegablemente, los cortafuegos proporcionan una primera línea de
defensa eficaz frente a amenazas externas, igualmente pueden dar una falsa
123
sensación de seguridad. Una mala configuración del mismo, errores en su software o
hardware o una pobre política de seguridad que permita otros puntos de acceso a la
red, pueden volver completamente inútil el mejor de los cortafuegos . Es por ello que
se vuelve necesaria la utilización de sistemas de detección de intrusión (lOS), que
vigilen la red en busca de comportamientos sospechosos.
Los lOS funcionan como las alarmas de las casas: alertan sobre la realización de
ataques con éxito e incluso de ataques en progreso. Para poder ser utilizados con
eficacia deben ser exactos, en el sentido de que no ofrezcan ni falsos positivos
(calificar de ataque una actividad que no es tal) ni falsos negativos (no considerar
como ataque una acción que en realidad sí lo sea). Su efectividad será mayor
cuanto más corto sea su tiempo de respuesta, permitiendo así actuar de forma
consecuente y poder detener el ataque en curso. Estas características deben estar
presentes en todo lOS para que sea considerado de verdadera utilidad en la
detección de intrusiones. Aunque haya sido detectado, un ataque que ha superado
con éxito todas las barreras de seguridad tradicionales siempre afecta, si la política
de seguridad no es capaz de reaccionar a tiempo o de emprender acciones
oportunas contra el atacante, ya sea durante o después de la intrusión. Para este fin,
los lOS deben realizar un diagnóstico significativo, informando en qué consiste el
ataque y de dónde procede, así como sugerir algún tipo de actuación para
enfrentarlo.
Normalmente un intruso intenta acceder a una determinada información, manipular
cierta información y hacer que el sistema no funcione de forma segura o inutilizarlo.
Una intrusión es cualquier conjunto de acciones que puede comprometer la
integridad, confidencialidad o disponibilidad de una información o un recurso
informático. Los intrusos pueden utilizar debilidades y brechas en la arquitectura de
los sistemas y el conocimiento interno del sistema operativo para superar el proceso
normal de autenticación.
124
La detección de intrusos se puede detectar a partir de la caracterización anómala del
comportamiento y del uso que hacen de los recursos del sistema. Este tipo de
detección pretende cuantificar el comportamiento normal de un usuario. Para una
correcta distinción hay que tener en cuenta las tres distintas posibilidades que
existen en un ataque, atendiendo a quién es el que lo lleva a cabo:
• Penetración externa. Que se define como la intrusión que se lleva a cabo a partir
un usuario o un sistema de computadores no autorizado desde otra red.
• Penetraciones internas. Son aquellas que llevan a cabo por usuarios internos que
no están autorizados al acceso.
• Abuso de recursos. Se define como el abuso que un usuario lleva a cabo sobre
unos datos o recursos de un sistema al que está autorizado su acceso .
La idea central de este tipo de detección es el hecho de que la actividad del intruso
es un subconjunto de las actividades anómalas. Esto puede parecer razonable por el
hecho de que si alguien consigue entrar de forma ilegal en el sistema, no actuará
como un usuario norma\. Sín embargo en la mayoría de las ocasiones una actividad
intrusiva resulta del agregado de otras actividades individuales que por sí solas no
constituyen un comportamiento intrusivo de ningún tipo . Idealmente el conjunto de
actividades anómalas es el mismo del conjunto de actividades intrusivas, de todas
formas esto no siempre es así:
• Intrusivas pero no anómalas. Se les denomina falsos negativos y en este caso la
actividad es intrusiva pero como no es anómala y no se consigue detectarla. Se
denominan falsos negativos porque el sistema erróneamente indica ausencia de
intrusión.
• No intrusivas pero anómalas. Se denominan falsos positivos y en este caso la
actividad es no intrusiva, pero como es anómala el sistema decide que es
intrusiva. Se denominan falsos positivos, porque el sistema erróneamente indica
la existencia de intrusión.
125
• Ní íntrusíva ni anómala. Son negativos verdaderos, la actividad es no intrusiva y
se indica como tal.
• tnttusive y anómala. Se denominan positivos verdaderos, la actívidad es intrusiva
y es detectada.
Los primeros no son deseables, porque dan una falsa sensación de seguridad del
sistema y el intruso en este caso puede operar libremente en el sistema. Los falsos
positivos se deben de minimizar, en caso contrario lo que puede pasar es que se
ignoren los avisos del sistema de seguridad, incluso cuando sean acertados. Los
detectores de intrusiones anómalas requieren mucho gasto computacional, porque
se siguen normalmente varias métricas para determinar cuánto se aleja el usuario de
lo que se considera comportamiento normal.
Los sistemas lOS basan su funcionamiento en la recolección y análisis de
información de diferentes fuentes, que luego utilizan para determinar la posible
existencia de un ataque o penetración de intrusos .
En caso de que exista la suficiente certeza de la detección de un incidente, el lOS
tiene como función principal alertar al administrador o personal de seguridad, para
que tome acciones al respecto. Otras implementaciones más complejas son
capaces de ir más allá de la notificación de un posible ataque, es decir pueden
ejecutar accíones automáticas que impidan el desarrollo de éste.
los IDS pueden clasificarse en base a varios aspectos: método de detección, tipo de
monitoreo y forma de recolección y análisis de la información.
Según el método de detección, los hay de detección de mal uso y detección de
anomalias. El modelo de detección de mal uso consiste en observar cualquier
proceso que intente explotar los puntos débiles de un sistema en específico. Las
diferentes acciones , que integran el mencionado proceso, comúnmente se
denominan patrones o firmas del ataque.
126
Estas firmas pueden ser simples, como cadenas de caracteres, estructuras de
memoria o bits, pero también pueden ser más complejas como vectores ó
expresiones matemáticas. Una ventaja de este método es que permite centralizar
las labores de detección en el conjunto de firmas que posee el IDS, minimizando así,
la carga de procesamiento del sistema. Muchos productos comerciales utilizan este
enfoque e inclusive periódicamente proporcionan actualizaciones de éstas firmas .
En cambio , el modelo de detección de anomalías se basa en constantemente
monitorear el sistema para así detectar cualquier cambio en los patrones de
utilización o el comportamiento del mismo. Si algunos de los parámetros
monitoreados sale de su regularidad, el sistema generará una alarma que avisará al
administrador de la red sobre la detección de una anomalía. Este tipo de detección
es bastante compleja, debido a que la cuantificación de los parámetros a observar no
es sencilla y a raíz de esto, se pueden presentar los siguientes inconveniente:
• Pueden generarse falsas alarmas si el ambiente cambia repentinamente, por
ejemplo, cambio en el horario de trabajo.
• Un atacante puede ir cambiando lentamente su comportamiento para así engañar
al sistema.
Los inconvenientes antes mencionados pueden ser controlados mediante una
implementación robusta y minuciosa.
Según el tipo de monitoreo, hay IDS con detección orientada al host o detección
orientada a la red.
El modelo orientado al host se basa en el monítoreo y análisis de información, que
refleja el estado del host donde éste reside. La mayoría de la información que este
tipo de sistema recopila es obtenida a través del sistema operativo del host.
127
Esto último causa complicaciones debido a que la información que se procesa no
contiene registros del comportamiento, de bajo nivel, de la red.
Los lOS que utilizan el modelo orientado a red, fundamentan su monitoreo en
información recolectada de la red. Generalmente, ésta información es capturada
mediante mecanismos de "sniffing", que consiste en habilitar la interfaz de red en
modo promiscuo para que así capture todos los paquetes que reciba, incluso
aquellos que no le han sido destinados. En base al mecanismo antes expuesto, se
pueden definir patrones o firmas de ataques, según la estructura, información y
ocurrencia de los paquetes.
Características deseables de un lOS:
• Debe ejecutarse continuamente sin intervención o supervisión de un operador
humano.
• Debe ser conñable, IQ suficiente C;:QITlQ para ejecutarse tras bambalmas, pero !19
debe ser una caja neQra, es decir, que su funcionamiento interno pueda ser
examinado.
• Debe ser capaz de tolerar fallas, en' el sentido de que pueda sobrevivir a una
caída del sistema, sin tener que reconstruir su base de datos de conocimientos al
reiniciarse.
• El sistema debe estar en capacidad de automonitorearse para asegurar su
correcto funcionamiento.
• Debe ser ligero, es decir su ejecución no debe cargar al sistema de una manera
tal que le impida ejecutar otras tareas con relativa normalidad
• Debe observar desviaciones del comportamiento estándar.
• Debe poder adaptarse al comportamiento cambiante del sistema , es decir, sí la
configuración del sistema cambia , el SOl se adaptará.
• Debe ser dificil de engañar.
128
En El Salvador se encuentra disponible en el mercado y puede consultarse en el sitio
(curiosamente de una PYME) www.tonercity.com.sv un IDS llamado Monitor de
Eventos Lan Guard Security (S.E.L.M.) . Éste monitorea los eventos de seguridad de
todos los servidores y estaciones de trabajo de Windows NT/2000/XP y le alerta
sobre posibles ataques e intrusos en tiempo real. También proporciona reportes
diarios/semanales/mensuales sobre eventos de seguridad relevantes que estén
sucediendo la red. A Lan Guard Security S.E.L.M. no lo afectan los switches, la
encriptación del tráfico IP o la transferencia de datos de alta velocidad , como se ven
afectados los productos tradicionales de detección de intrusos.
Los Beneficios que ofrece son permitir monitorear:
• Usuarios que tratan de acceder a documentos compartidos asegurados
• Usuarios que tratan de acceder a archivos confidenciales
• Usuarios de red que traten de entrar con un usuario (login) de una cuenta distinta
• Conexión (Logins) de administrados que sean hechos fuera de horas de oficina
• Configuración correcta deñrewalls: ceteccíon deusuaríos fraudulentos en la re.d
• Ataques que usen cuentas de usuarios locales
2.3 Políticas de Seguridad en Internet
A GQnt'nLJ~l.C~¡Qn se mencionan LJnª $~rie Q.~ PQ!!tiC:;:ª.$ 9~ $~gl,!r¡9ª.9 en ~¡ uso Q.e
Internet que pueden ser aplicadas de acuerdo a la particularidad de cada empresa.
2.3.1 Neutralización de Virus
'=ª neutralización de virus informáticos debe entenderse como la acción de debilitar el.. - _. - - - - .- _ . - - - - '
efecto causado por un virus; es decir, invertir su efecto (daño).
129
La inmensa mayoría de las infecciones por Virus en la actualidad son debidas a
infecciones por gusanos (programas que se transmiten a través de la Red) y
troyanos (programas que ejecutan acciones ocultas e indeseables) realizadas en su
mayoría de veces a través del correo electrónico. Estos virus se activan mediante la
ejecución de archivos adjuntos en el correo electrónico o simplemente mediante la
lectura de correos recibidos con código malicioso dentro de HTML , Multi lenguaje de
Hyper texto, utilizado para crear páginas en la web.
Una de las medidas más sencillas y más efectivas de neutralizar virus es la de
nunca ejecutar un fichero adjunto de un correo electrónico
mediante el procedimiento de doble-click directamente sobre el
archivo, ni aunque provenga de gente conocida. Al pulsar sobre lo que nos parece
que es una imagen, un video clip, o un documento de texto, en lugar de abrir el
programa que lee el archivo, ejecuta el código del Virus con lo que la infección y sus
consecuencias ya son una realidad en la computadora que lo está ejecutando. Una
medida mucho más saludable es guardar el archivo adjunto, ejecutar el programa
que debe de abrirlo y desde ese programa abrir el archivo adjunto que se ha
guardado en la computadora. Si es un Virus, el programa no podrá abrirlo, con lo
que la computadora no resultará infectada.
Es imprescindible tener un Antivirus actualizado (aunque esto no es sinónimo de
protección absoluta, ya que un Virus de muy reciente aparición puede introducirse en
el sistema antes de que la vacuna este lista o se haya descargado la actualización).
Un programa de muy buen desempeño para esto, es el mundialmente conocido
Norton Antivirus, que se encuentra disponible en la mayoría de tiendas de programas
de computadora, acá en el país o en la mayoría de lugares del mundo.
Otro grave problema, fuente de transmisión de virus o problemas de seguridad, es el
envío y recepción de correo con HTML.
130
Lamentablemente, los programas lectores de correo electrónico generalmente más
utilizados no disponen de la opción de recepción de correo en modo "solo texto
plano" si no en formato HTML. Por esta situación es de suma importancia también
estar atento a las actualizaciones del Software que se utiliza y mantenerlo siempre
actualizado, ya que por norma general, las actualizaciones solucionarán los posibles
bugs (errores) de seguridad que se conozcan hasta esa fecha.
2.3.2 Firewalls (Cortafuegos 6 Paredes de Fuego)
Un sistema básico de seguridad que se debe utilizar para la conexión a Internet, es la
instalación de un Firewall o cortafuegos. Un firewall es un sistema de defensa que
se basa en la instalación de una barrera entre la PC y la Red, entre quienes circulan
todos los datos. Este tráfico entre la Red y la PC es autorizado o denegado por el
firewall (la barrera), siguiendo las instrucciones que se le hayan configurado.
Un cortafuegos consiste en un dispositivo informático (un router o un computador)
que sepa diferenciar físicamente un dominio de red de otro.
Un cortafuegos (firewall) es un mecanismo de filtrado que aísla un 'área segura',
tratando de identificar los puntos de acceso vulnerables en el 'perímetro' y de
concentrar en ellos la política de seguridad en tránsito que se desee. En el caso más
típico, el cortafuegos aísla una red privada del entorno constituido por la red pública
externa; pero el modelo sirve también para aislar dos redes privadas entre sí cuando
las características de seguridad de ambas difieren notablemente.
El cortafuegos impone una política de acceso desde/hacia la red exterior, lo que
parece poder relajar la política interna de seguridad de la red protegida (se deja ,
circular dentro con más libertad) . Pero el cortafuegos no influye en la política de
seguridad de la compañía y no reduce los riegos de ataques originados internamente
y dirigidos a los equipos dentro de la empresa.
131
El uso de un cortafuegos es la única opción de seguridad posible en los siguientes
casos:
• En entornos donde la implantación de controles de acceso estrictos no es viable
en todos y cada uno de los equipos; o donde la información transita 'en claro' (sin
cifrar) por segmentos comunes.
• En redes complejas cuya cantidad de equipos exceda la capacidad de administrar
la seguridad por su responsable. Esta persona sólo podrá imponer, mantener y
monitorizar una política de seguridad de manera efectiva al centralizar su
materialización en un sólo punto y en forma de cortafuegos.
El cortafuegos se materializa con un equipo único que proporciona toda la
funcionalidad, o con equipos separados (software, router, servidor e incluso red) cuya
combinación ofrece el efecto deseado.
Un cortafuegos proporciona diversos tipos posibles de protección:
• Registra el tráfico que sale o llega a la red privada.
• Bloquea el tráfico no deseado.
• Dirige el tráfico entrante a sistemas internos preparados para tal fin, más
confiables.
• Oculta identificadores (topología y dispositivos de red, sistemas y usuarios
internos de Internet).
• Oculta sistemas de Internet vulnerabtes que no pueden hacerse fácilmente
seguros.
• Proporcíona una autentificación más robusta que la de las aplicaciones estándar.
No obstante, conviene también aclarar otras protecciones que NO proporcionan los
cortafuegos:
132
• No protegen contra amenazas 'inteligentes' intencionales internas (en el dominio
de la intranet).
• No protegen contra amenazas derivadas de conexiones con el exterior que no
pasan por él.
• No protegen contra virus ni amenazas no catalogadas.
Aunque un firewall se compone de equipos y programas, a continuación se explicará
el funcionamiento de un programa tipo (entre los muchos que hay) que realiza las
funciones inherentes de un cortafuegos, gráficamente se puede ver como funciona
observando la figura IV.1.
HA.CKER
Flr•••11 El full"'i111 udojil como bUlrl!l<1 do !" ct6·Ccien en1m n ue siro ai sin ma
'? IrlIalne1.,
) -: O " pe;COn¡¡rogramal. ~ Flrew.I
.\
.
Red Protegida
Figura IV.1 Esquema de un Programa Firewall
El funcionamiento de éste tipo de programas se basa en el "filtrado de paquetes":
todo dato o información que clrcule entre la PC y la Réd es analizado por él
programa (firewall) con la misión de permitir o denegar su paso en ambas
direcciones (Internet-->PC ó PC--->Internet).
133
Es muy importante comprender esto último, ya que si se autoriza un determinado
servicio o programa, el firewal1 no va a decir que es correcto o incorrecto, o incluso,
que siendo correctos los paquetes que están entrando o saliendo, éstos contienen
datos perniciosos para el sistema o la Red, por lo que se debe tener cuidado en las
autorizaciones que se otorguen.
Un ejemplo de esto último es el Correo Electrónico. Si se autoriza en el firewall a que
determinado programa de correo acceda a Internet, y al recibir correo, en un mensaje
recibido viene un archivo adjunto con un virus (por ejemplo tipo gusano), el firewall
no va a defender de ello ya que se le ha autorizado a que ese programa acceda a la
Red. Lo que sí va a hacer es que si al ejecutar el archivo adjunto, el gusano intenta
acceder a la Red por algún puerto que no esté previamente aceptado en la
configuración, no lo dejará propagarse. Ahora bien , si hace uso por ejemplo del
mismo cliente de correo, sí se va a propagar. La misión del firewall es la de aceptar
o denegar el trafico, pero no el contenido del mismo. En éste caso , la misión de
protección le correspondería a un antivirus que esté configurado para examinar los
correos electrónicos entrantes e implica (además del sentido común) no ejecutar sin
más un archivo adjunto.
Un firewall funciona, en principio, DENEGANDO cualquier tráfico que se produzca
cerrando todos los puertos de nuestro PC. En el momento que un determinado
servicio o programa intente acceder a Internet o a una pe, el cortafuego lo hará
saber . En ese momento se puede aceptar o denegar dicho tráfico, pudiendo
asimismo hacer (para no tener que repetir la operación cada vez) "permanente" la
respuesta hasta que no cambie la política de aceptación de la empresa.
Una buena política debería ser, ante la duda , no aceptar nunca cualquier acceso
hasta comprobar que es necesario para un correcto funcionamiento del servicio que
se pretenda usar y no sea potencialmente peligroso para el sistema.
134
Con la instalación de un firewall se logra hacer el sistema mucho menos vulnerable a
intrusiones. Un firewall que esta disponible en la web y el cual puede ser probado es
Zone Alarm, es gratuito y puede ser bajado del sitio
http://download.zonelabs.com/bin/free/znalm26gen/zonalm2601 .exe.
También GFI MailSecurity actúa como un firewall, y está disponible en El Salvador;
se puede consultar el sitio www.tonercity.com.sv. en versión para Microsoft
Exchange y en versión para SMPT. La versión SMPT debe ser ubicada en el
perímetro de la red como un servidor de correo relevo que escanee correo de
entrada y de salida. La versión para Exchange se integra fluidamente con el
Exchange Server 2000 y escanea la información que el Exchange 2000 almacena.
Ambas versiones pueden ser ubicadas simultáneamente para lograr una protección
óptima .
2.3.3 Encriptación
La encriptación o cifrado es un mecanismo de seguridad que permite modificar un
mensaje de modo que su contenido sea ilegible, salvo para su destinatario. De modo
inverso, la desencriptación o descifrado permitirá hacer legible un mensaje que
estaba cifrado.
Usando criptografía de clave pública, el emisor del mensaje cifrará el mensaje
aplicando la clave pública del destinatario. Será por tanto el destinatario, el único
que podrá descifrar el mensaje aplicando su clave privada.
El Sistema PGP (Pretty Good Privacy) de Philip R. Zimmermann es uno de los
sistemas para encriptación de comunicaciones por Internet más utilizado en el
mundo.
El PGP es un programa popular que se utiliza para encriptar y descifrar correo
electrónico en Internet. También se puede utilizar para enviar una firma digital
135
cifrada que deja que el receptor verifique la identidad del remitente y saber si el
mensaje ha sido adulterado en la ruta. Se consigue tanto en forma gratuita y a bajo
costo, en versión comercial. PGP es el programa más utilizado por personas para
asegurar la prívacidad, y también se utiliza en muchas empresas. Fue desarrollado
por Zimmermann en 1991 y se ha convertido en el estándar factible para la seguridad
en los correos electrónicos. También se puede utilizar para cifrar archivos que se
han almacenado para que no puedan ser leídos por otros usuarios. El sistema PGP
garantiza:
• La identidad del emisor y receptor
• La confidencialidad del mensaje
• La integridad del mensaje
• La certeza de haber realizado la operación (envío de e-mail)
• Resultados rápidos y cómodos
3. Medidas de Seguridad dirigidas al Personal de las PYMEs que Realiza EBusiness
A continuación se presentan medidas de seguridad dirigidas al personal que realiza
E-Business dentro de las Pequeñas y Medianas Empresas.
3.1 ¿Qué son Jos Virus Informáticos?
No todos los programas destructivos son un virus necesariamente. Un virus real de
computadoras es un programa que puede "infectar" a otros programas
modificándolos para incluir una copia o algunas veces una copia "evolucionada" de sí
mismo. En otras palabras, un virus tiene la habilidad de reproducirse, ya sea
"ligando" la copia de sí mismo a un programa legitimo o infectando la parte del disco
(diskette o disco duro) que contiene las instrucciones para cargar el sistema
operativo de la computadora (pe).
136
Debido a que un virus es un programa, que como cualquier otro programa, debe ser
ejecutado para que actúe se puede tener archivos infectados o virus en la
computadora, que no la afectarán hasta que sean ejecutados o se abran . Si no se
desea que la computadora se infecte, se debe revisar regularmente con dos o tres
antivirus actualizados. Pero nunca se debe tener más de un antivirus monitoreando,
puesto que al hacerlo, ocurrirá un conflicto entre ellos , porque estarán accediendo a
los mismos recursos. Debe usarse uno siempre activo, y otros para revisar.
Jamás debe ejecutarse ningún programa (software) sin revisarlo antes (incluidos
disquetes, CDs, archivos adjuntos a e-mails, bajados por Internet, recibidos vía los
populares ICO, (1 seek you) y Messenger). Hasta el software original distribuido
legítimamente por sus fabricantes, puede contener virus. Debería exigirse que
quienes usan la PC asignada a un determinado usuario, sigan las reglas o normas al
pie de la letra, aunque estos sean ajenos a situaciones de trabajo dentro la empresa
(amigos, hijos , colegas, o • • ).
Existen programas altamente destructivos como los del tipo caballos de Troya,
Gusanos (Worms) y Bombas Lógicas. Las distinciones entre caballos de Troya,
gusanos y bombas algunas veces se confunden, pero lo que sucede es que
diferentes tipos de virus son combinados para crear resultados especiales.
Un caballo de Troya es un programa destructivo que está "enmascarado" como un
programa inocuo, tal como un juego o una gráfica. El nombre viene del mítico
caballo de Troya de la antigua Grecia, el cual llevaba dentro de sí mismo algo
diferente de lo que se esperaba. En el mundo de las computadoras, así como en el
mito, el resultado es destructivo.
Los gusanos están diseñados para infiltrarse en sistemas de datos para alterarlos o
destruirlos. El nombre viene del hecho de que los gusanos "escarban" su camino
hacia su objetivo sin ser detectados.
~ .'-' .
137
Las Bombas Lógicas son partes de programas legítimos que están programadas
para "detonar" después de una cierta fecha o cierta secuencia de eventos . Esto
significa que el virus contiene alguna "carga" que se activa en un fecha posterior,
puesto que para lograr el mayor daño, es mejor darle tiempo al virus para que se
pueda reproducir en grandes cantidades. Estos tipos de virus pueden ser enviados
automáticamente vía correo electrónico (e-mail) , adjuntos a un mensaje amistoso,
haciendo creer que él mismo es de alguien conocido, y que por lo tanto, el archivo
adjunto lo envía esa persona. La regla más segura es JAMAS abrir archivo adjunto
alguno. Archivos ejecutables o que puedan causar una modificación con sólo
abrirlos son por ejemplo aquellos con terminación .EXE, .COM, .BAT,...RE~ -; DLL,
.vBS, .DOC, .RTF y .XLS, estos no deberían ser aceptados vía e-mail y abiertos o
ejecutados , sino deben guardarse en la PC y luego abrirlos asegurándose de que el
antivirus está activo y cumplirá con su función de revisión. Sólo archivos adjuntos
en formato ASCII (.TXT) de texto, pueden ser abiertos sin peligro si van adjuntos a
un mensaje.
Existe una larga lista de mensajes que en realidad se tratan de bromas o engaños,
conocidos en la red como "hoaxes", y que circulan a través del e-mail, advirtiendo
sobre "virus" inexistentes. Algunos de estos "hoaxes" son muy conocidos: Good
Times, Pen Pals, Join the Crew, WIN A HOLlDAY, Bud Frogs, Wobbler, Perrin.Exe,
Pikachus Ball, Tarjeta virtual y muchos otros.
Todos ellos y muchos que aparecen o reaparecen cada cierto tiempo (generalmente
basados en alguno de los anteriores) , tienen en común la súplica para que el lector
remita esos mensajes a la mayor cantidad de conocidos. Estos hoaxes típicamente
advierten de algún desastre a la PC, incluso por sólo leer el mensaje. Y es muy típico
el indicar que no tienen cura, o que es una versión muy reciente aún no identificada.
No hay virus que no tenga cura. El tiempo de aparición de un nuevo virus y la
incorporación del mismo a la base de datos de los antivirus, a veces es cuestión de
minutos, horas como máximo, en la mayoría de los casos.
138
Debe mantenerse el antivirus al día. Una actualización diaria es lo aconsejable.
Para reducir la cantidad de mensajes de este tipo que se propagan a través de la
red, y para evitar molestar a otras personas, no deben reenviarse jamás estos
mensajes , y no se deben propagar estas advertencias, a menos que se haya
verificado su exactitud con alguna fuente seria y responsable.
Se puede tener el control sobre los virus, si se mantiene una estricta conducta con
los programas ejecutables que corren en la pe.
3.2 E-Business Seguros
A continuación se presentan algunos aspectos importantes para minimizar la
vulnerabilidad a la que se está expuesto al realizar E-Business.
3.2.1 Correo Electrónico
• No enviar nunca información confidencial de la empresa a terceros. Podría dar
lugar una violación de la buena fe contractual y por tanto a una sanción o al
despido, exactamente igual que ocurría con la información en papel o en
cualquier otro soporte.
• Si la empresa ha puesto a disposición del empleado dos cuentas de correo, una
para uso personal y otra para asuntos de trabajo, debe utilizarse exclusivamente
la primera en las comunicaciones privadas.
• Se debe desconfiar en general de los archivos adjuntos y antes de ejecutarlos
asegurarse de quién los envía y de si lo ha hecho voluntariamente (muchos virus
se auto reenvían sin conocimiento del usuario). Las posibilidades de que se
extienda la infección por la red interna de la empresa deben considerarse .
139
• Aunque el término abuso es algo ambiguo, es importante que, para no caer en él,
se consideren algunas cuestiones de sentido común a la hora de utilizar el correo:
No deben enviarse archivos de gran 9ue saturen la red o causen problemas al
servidor, nQ se debe utilizar el correo con fines ofensivos relacionados con la
sexualid~~, nI muchos menos pornografía.
3.2.2 Navegación por Internet o Intranets Empresariales
Aquí se hace mención de algunas normas o consideraciones a tomar en cuenta al
navegar por Internet dentro de la empresa o a través de los recursos de la empresa.
? • La navegación por entretenimiento no debe interferir en el desarrollo de las
funciones profesionales dentro de la empresa, además se puede estar
exponiendo a toda la empresa a algún ataque.
• Se debe acceder a aquellos sitios en los que se tratan temas relacionados con el
empleo, o el desarrollo de las funciones dentro de la empresa.
• Se puede acceder a sitios web de proveedores o colegas en busca de
información o asesoramiento.
• No se debe acceder deliberadamente a sitios web con contenido pornográfico o
que promuevan la violencia, el terrorismo o la intolerancia.
En general la conciencia de aplicar y mantener las medidas de seguridad pertinentes
para permanecer el mayor tiempo posible invulnerable a los acechos y ataques en
Internet es responsabilidad de todos y cada uno de los actores dentro de la empresa.
140
3.3 Aplicación de Técnicas de Protección en Internet
Para los usuarios en general la aplicación de técnicas de protección en el uso de
Internet , se vuelven transparentes; es decir basta con seguir las normas, conocer la
Políticas de Seguridad en el uso de Internet de la Empresa y acudir al soporte
informático especializado, cuando así se requiera.
Todo lo demás concierne directamente al personal de informática; es decir, SI se
dispone instalar un sistema de segurídad, antivirus y demás. La tarea de el usuario
común es nada más ejecutar las protecciones que ya están instaladas y seguir y
acatar las normas de seguridad establecidas y por supuesto reportar cualquier tipo
de anormalidad o fallo en el sistema de seguridad.
3.4 El Soporte Informático
El soporte informático es un aspecto de suma importancia para el uso adecuado de
computadoras en general e Internet.
Lamentablemente, muchos usuarios y personal de informática no han reconocido la
importancia del soporte informático como herramienta preventiva, y no solamente
correctiva y para utilizar en casos de extrema emergencia. Generalmente, las
empresas que cuentan con un equipo de personal informático dentro de su
organización lo utilizan para reparar equipos, emitir reportes, instalar software y otras
tareas , pero no para orientar y sobre todo capacitar al personal que se ocupa de los
negocios electrón icos de la empresa.
El equipo informático debería asistir al resto del personal de la empresa no
solamente en cuanto al uso de una computadora personal y sus programas, sino
también explicando cómo funciona Internet, cuáles son sus potenciales, las
oportunidades que ofrece, y cuáles son sus implicaciones tanto positivas como
negativas (inseguridad).
141
Por supuesto, de suma importancia es, además, concienciar al personal involucrado
con el quehacer de los E-Business; los usuarios deben saber que estar con una pe conectado a Internet implica riesgos directos para la empresa.
Sin pensar en dañar a la empresa, en horas del almuerzo por ejemplo, algunos
empleados se entretienen "inofensivamente" entrando a sitios web pornográficos, de
curiosidades, chistes y otros; no se han detenido a considerar que pueden afectar a
la compañfa, sin recordar que se abren muchas puertas al permanecer en sitios
como éstos.
Básicamente, el usuario de Internet debe utilizar el soporte informático como una
medida preventiva ante los ataques y vulnerabilidades en Internet, y no solamente
como una medida correctora. Si el soporte informático preventivo no llega, entonces
debe buscarse.
4. Implementación del Modelo de Seguridad EB-Security para Internet aplicado a los E-Business que realizan las Pequeñas y Medianas Empresas ubicadas Cibernéticamente en el Dominio de El Salvador (.SV).
A continuación se presentan los pasos para implementar exitosamente el Modelo de
Seguridad EB-Security para Internet.
4.1 Plan de Implementación del Modelo
El Plan de Implementación del Modelo se ha desarrollado por etapas, las que se
exponen a continuación para implementar exitosamente el Modelo de Seguridad EB
Security para Internet.
4.1.1 Presentación del Modelo
La idea básica en este aspecto es dar a conocer el modelo, que debe ser presentado
a la organización por personal idóneo y que lo conozca y lo haya estudiado.
142
a) Personal de Dirección (Propietarios, Gerentes, Directores)
Esta es la presentación del modelo para las personas encargadas de manejar la
empresa; es decir, el personal de más alto rango dentro de la organización, razón por
la cual la exposición debe ser más bien una conversación amena que presente el
modelo según sus partes, sin caer en tecnicismos complicados, aunque manteniendo
la seriedad e importancia del tema principal del modelo: La Seguridad en los E
Business.
El exponente debe preocuparse de generar conciencia en este aspecto, teniendo en
mente que de este grupo de personas es que emanan las directrices generales de la
empresa, por lo que lograr sembrar esta idea en ellos facilitará la completa
implementación del modelo.
b) Personal de Informática (Interno - Externo)
En ocasiones, las empresas tienen una gama de personas que se involucran en el
área de informática. Ya sean éstos externos o internos, deben conocer las políticas
de seguridad de la empresa al utilizar Internet y los demás aspectos que expone el
modelo.
e) Personal en General que utiliza Internet
En esta sección se busca hacer del conocimiento del personal en general de la
empresa que hace uso de Internet el Modelo de Seguridad EB-Security para Internet
y su implementación. Para este tipo de empleados deberá hacerse uso de lenguaje
apropiado y hacer un pequeño sondeo entre la concurrencia para poder conocer el
grado de conocimiento y determinar la forma en que utilizan Internet y se realizan E
Business, no descuidando el hecho de que, aunque no sean precisamente
profesionales de la informática, perfectamente pueden haber desarrollado
habilidades al realizar E-Business.
143
4.1.2 Formas de Aplicación del Modelo
PASO 1: Realizar un diagnóstico de la situación respecto a la seguridad de la
empresa y el uso del Internet, ya sea utilizando como técnica para el diagnóstico la
entrevista dirigida a los involucrados, la observación directa o cuestionarios escritos.
(Ver Modelo en Anexo IV.1). Esto le permitirá tener una visión real de la situación
actual de la empresa respecto a la seguridad al realizar E-Business.
PASO 2: Capacitar al personal involucrado con E-Business y a los técnicos de
informática, si los hubiese. La capacitación debe impartirse de una manera
adecuada al nivel de conocimiento de los receptores, básicamente este punto se
basa en dar a conocer la problemática y cerciorarse de la comprensión de los
términos por parte de los involucrados para mostrar y dar a conocer las formas de
solución.
PASO 3: Diseñar, crear, dar a conocer e implementar Políticas de Seguridad al
realizar E-Business.
a) Creación de Políticas
El Modelo de Seguridad EB-Security para Internet presenta y explica una serie de
políticas, las cuales deben ser analizadas y aplicadas a los E-Business, según las
características particulares de cada empresa . Sí aplicaren todas las políticas que
describe el Modelo, entonces deben implementarse y darse a conocer a todo el
personal involucrado y monitorear la adecuada aplicacíón de las mismas.
b) Creación de Normas
La información que el Modelo de Seguridad EB-Security para Internet presenta
puede ser tomada como base para que la empresa genere sus propias normas y/o
políticas, esto dependiendo de las formas en que se use Internet y cómo se lleven a
cabo los E-Business.
144
En el caso de que todas las normas presentadas en este modelo sean aplícables,
entonces, deberán darse a conocer al personal involucrado para su correspondiente
aplicación.
4.1.3 Divulgación del Modelo
El Modelo de Seguridad EB-Securlty para Internet puede ser divuigado dentro de
cada empresa, pudiendo seccionar al personal o reuniendo al g(uPO dé todas las
personas de la empresa que tienen que ver con los E-Business e Internet.
Dada la universalidad de Internet, el Modelo de Seguridad EB-Security para Internet
también puede ser divulgado en reuniones o foros generales que planifiquen las
gremiales que aglutinan a las Pequeñas y Medianas Empresas salvadoreñas.
4.2 Cronograma de Implementación del Modelo
r SEMANASDESCRIPCION DE l:AACTlVIDAU-------------.. F:-:-=r--==-~-r=-r----:-r=-r-:::-r=i
1234567
Análisis y estudio del Modelo
Diagnóstico de la seguridad en los E-Business de las empresas
Exposición del Diagnóstico
Diseñar y Crear la Política de Seguridad en los E_Business Comunicar la Política de Seguridad de los E-Business
Segumiento del Modelo EB-Security (evaluación de resultados), deber realizarse 6 meses después de su implementación
Tabla IV.2 Cronograma de Implementación del Modelo
El cronograma presentado es un cronograma tipo, que puede variar dependiendo de
la complejidad de cada empresa y sus requerimientos de seguridad en el uso de
Internet y la aplicación de los E-Business.
145
4.3 Evaluación del Modelo
Transcurridos seis meses a partir de la implementación del Módeló de Seguridad EB
Security para Internet, deben evaluarse los resultados obtenidos por medio de su
utilización y aplicación. Esto puede llevarse a cabo utilizando formularios de
evaluación, o simplemente a través de entrevistas libres; el propósito buscado en
esta parte es verificar las adecuada utilización del ModeIo, revisar jos resuitados de
su aplicación y realizar los ajustes que en ése punto Sé consíderen oportunos y
necesarios.
4.4 Recursos
Tres tipos de recursos son requerídos para la implementación del Modelo: Recursos
Humanos, Tecnológicos y Financieros.
4.4.1 Humanos
Se requiere por lo menos de un profesional en la informática que , dependiendo de la
estructura organizacional de la empresa, puede ser externo o interno.
Es recomendable que las pequeñas y medianas empresas cuenten con personal
idóneo en el área de informática, puesto que son los indicados para llevar a cabo la
implementación del Modelo.
Es factible formar un Comité de Seguridad en los E-8usiness, que puede estar
conformado por un representante de la alta gerencia, un representante de informática
y uno del área de E-Business.
í46
4.4.2 Tecnológicos
Los recursos tecnológicos para la implementación del Modelo de Seguridad EB
Security para Internet variarán según la situación particular de cada empresa y de el
grado de involucramiento que las pequeñas y medianas empresas tengan en los E
Business. Además debe tomarse en cuenta la forma de conexión a Internet, el
proveedor, ia red corporativa o Íocal, entre otros.
En general, como mínimo la empresa debe contar con un antivirus que sea
actualizado periódicamente, aunque se recomienda que se haga diariamente y que
esté debidamente configurado . Partiendo de esto , pueden complementarse los
recursos con software de protección (firewalls, encriptación y otros) o hardware.
4.4.3 Financieros
Los recursos financieros necesarios para la implementación del Modelo de Seguridad
en Internet son los sIguientes:
INVERSION
DESCRIPCiÓN DEL PRODUCTO YIO SERVICIOS EN US$
Profesional de Informática 1,371 .00
Adquisición de programa Antivirus 70.00
Adquisición de programa Firewalls (incluye 4 licencias, en caso de 158.19
que se requieran)
Adquisición de software lOS (este precio incluye licencias para 2 455 .39
servidores y 10 estaciones, en caso de que así se requiera)
Adquisición de Software de Encriptación (incluye servicies de 470.00
alojamiento de sitios web y hosting, en caso de que así se requiera)
Gastos de reuniones para la presentación del Modelo EB-Security 115.00
Seguimiento y monitoreo 114.28
Tabla IV.3 Recursos Ftnancieros para la Implementación del Modelo
147
Este requerimiento de recursos financiero es un ejemplo tipo estimado que puede
cambiar de acuerdo a cada empresa y sus necesidades, numero de pe y tipo de
conexión á Internet y tipo de red local, se presenta con el propósito de demostrar
que hay formas de adquirir este tipo de programas en El país , el costo exacto de la
implementación del Modelo dependerá exclusivamente de la situación particular de
cada PYME este escenario planteado esta orientado para Sistemas Operativos de la
familia de Microsoft como Windows NT 4 - service pack 6, Windows zoo ó.
Con la debida implementación del Modelo de Seguridad EB-Security para Internet se
generará confianza para que las PYMEs fortalezcan e incrementen sus E-Bussines y
de esa manera se producirá un efecto positivo que llevará beneficio a la sociedad y
a la economía salvadoreña.