Seguridad de La Información 2015 II Clase 1-2

8/18/2019 Seguridad de La Información 2015 II Clase 1-2

1/49

INTRODUCCIÓN A LASEGURIDAD DE LA

INFORMACIÓN

ING. ALEXANDRA PEÑA DAZA

Analista de Seguridad de la InformaciónNOTA CONFIDENCIAL: La información contenida en esta presentación es originada por la Ingeniera Alexandra Peña Daza y solo puede ser utilizada por la persona, entidad o compañía a la cual está dirigida.


2/49

g

Orden del día• 1. Presentación Docente asignado

• 2. Presentación Estudiantes

• 3. Presentación de la Asignatura y Metodología• 4. Presentación Objetivos de la asignatura y Contenido Programático

• 5. Indicación Fechas importantes

• 6. Break

• 7. Evaluación de Diagnóstico

•

8. Introducción a la seguridad de la Información• 9. Que es Seguridad de la Información

• 10. Historia seguridad de la Información

NOTA CONFIDENCIAL: La información contenida en esta presentación es originada por la Ingeniera Alexandra Peña Daza y solo puede ser utilizada por la persona, entidad o compañía a la cual está dirigida.


3/49

DOCENTE ENCARGADO



4/49

PRESENTACIÓN DEESTUDIANTES

• Nombre

• Si trabajo, dónde trabaja• Experiencia en Seguridad de la información

• Expectativas del curso

•Por qué estudia Ingeniería?



5/49

PRESENTACIÓN DE LA ASIGNATURA - METODOLOGÍA

• Asignatura de Énfasis

•

Teórica• 3 Horas semanales presenciales (No es obligatorio)

• Por lo menos 8 Horas semanales de autoestudio(Depende de método de estudio del alumno)

•

Cátedra de 90 Minutos en la jornada presencial_ • Taller, discusión de lectura, ejercicio (Depende del

temario)



6/49

PRESENTACIÓN DE LA ASIGNATURA - METODOLOGÍA

• Parcial final 30 % (Entrega Proyecto Final)

• 2 Parciales del 20 % cada uno• Participación en foro quincenal 10 % primer corte

• Control de Lectura 10%



7/49

OBJETIVOS DE LA ASIGNATURA Y CONTENIDO

• Brindar al estudiante conceptos generales básicos de

las diferentes ramas de seguridad de la información• Desarrollar pensamiento analítico para la toma de

decisiones en seguridad de la información.



8/49

OBJETIVOS DE LA

ASIGNATURA Y CONTENIDO• 1. INTRODUCCIÓN A LA SEGURIDAD DE LA INFORMACIÓN (2 CLASES)

• 1.1 Que es seguridad de la información

• 1.2 Diferencia entre seguridad de la información y seguridad informática

• 1.3 Conceptos importantes en seguridad de la información

• 2. SEGURIDAD FISICA (1 CLASE)

• 2.1 Protección para el hardware

• 2.2 Principales problemas de seguridad en el hardware

• 2.3 Dispositivos para protección de Hardware

• 2.4 Recomendaciones sobre seguridad física para el centro de cómputo.(NFPA 75, EIA/TIA 942)

• 3. SEGURIDAD LOGICA (2 CLASES)

• 3.1 Seguridad para los datos

• 3.2 Principales problemas de seguridad en los datos

• 3.3 Dispositivos para protección de los datos

• 3.4 Esquemas de seguridad en datos

• 3.5 Recomendaciones generales para protección de datos

•NOTA CONFIDENCIAL: La información contenida en esta presentación es originada por la Ingeniera Alexandra Peña Daza y solo puede ser utilizada por la persona, entidad o compañía a la cual está dirigida.


9/49

OBJETIVOS DE LA

ASIGNATURA Y CONTENIDO

• 4. SEGURIDAD EN APLICACIONES. (1 CLASE)

• 5.1 Seguridad en aplicaciones WEB

•5.2 Procedimientos de seguridad básicos para aplicaciones Web

• 5.3 Seguridad en Bases de datos

• 5.4 Procedimientos básicos de seguridad para bases de Datos

5. ETHICAL HACKING (12 CLASES)

• 6.1 Introducción

• 6.2 Tipos de ataques

• 6.3 Herramientas para Ethical Hacking

• 6.4 Prueba de Penetración



10/49

OBJETIVOS DE LA

ASIGNATURA Y CONTENIDO• 6. GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN (6 CLASES)

• Estándares de seguridad de la información

• Sistema de Gestión de Riesgo en Seguridad de la información

• Sistema de Gestión de Seguridad de la información

• Sistema de Gestión de Continuidad del Negocio

• .7. INFORMÁTICA FORENSE. (1 CLASE)

• Introducción

• Evidencia Digital

• Clasificación de la evidencia digital

• Gestión de la evidencia digital

• 9. DELITOS INFORMATICOS Y LEGISLACIÓN NACIONAL (1 CLASE)

• La información y el delito

• Tipos de Delitos Informáticos

• Legislación Nacional para delitos Informáticos



11/49

FECHAS IMPORTANTES• Foro: Cada 8 días, se debe enviar respuesta al foro por correo.

• Talleres: De acuerdo al contenido, aproximadamente cada 20días, inicia en clase se entrega en la siguiente sesión

• Parciales• 1ro Comienzo de Septiembre

• 2do, Segunda semana de Octubre

• Final Tercera de Noviembre

• Control de Lectura• Segunda semana de Noviembre “El arte de la Intrusión” Kevin D

MitNick



12/49

DIAGNÓSTICO


• Conocimiento enseguridad Informática

• Conocimientos enseguridad de lainformación

• Conocimientos EthicalHacking

• Conocimiento ensistemas de GestiónSeguridad de lainformación


13/49

INFORMACION ES…..

• “Comunicación o adquisición de conocimientos que permiten ampliar oprecisar los que se poseen sobre una materia determinada” (Real AcademiaEspañola)

• “Grupo de datos ya supervisados y ordenados, que sirven para construir unmensaje basado en un cierto fenómeno o ente. La información permiteresolver problemas y tomar decisiones, ya que su aprovechamiento racionales la base del conocimiento.” http://definicion.de/informacion

• “ Todo aquel conjunto de datos organizados en poder de una entidad queposean valor para la misma, independientemente de la forma en que se

guarde o transmita (escrita, en imágenes, oral, impresa en papel, almacenadaelectrónicamente, proyectada, enviada por correo, fax o e-mail, transmitidaen conversaciones, etc.), de su origen (de la propia organización o defuentes externas) o de la fecha de elaboración.” (ISO 27000)


http://definicion.de/informacionhttp://definicion.de/informacionhttp://definicion.de/informacion


14/49

SEGURIDAD ES…..


• Del latín securitas , El vocablo se que puede traducirse

como “separar”, curus

que es sinónimo de “cuidado”y finalmente el sufijo – dad que equivale a “cualidad

• “Certeza (Conocimiento claro de algo)” (RAE)

• Aquello que está exento de peligro, daño o riesgo, o

que es cierto, firme e indubitable.http://definicion.de/inseguridad/#ixzz3RQO4xGAR

http://es.wikipedia.org/wiki/Lat%C3%ADnhttp://definicion.de/inseguridad/#ixzz3RQO4xGARhttp://definicion.de/inseguridad/#ixzz3RQO4xGARhttp://definicion.de/inseguridad/#ixzz3RQO4xGARhttp://definicion.de/inseguridad/#ixzz3RQO4xGARhttp://es.wikipedia.org/wiki/Lat%C3%ADn


15/49

ENTONCES SEGURIDAD DELA INFORMACIÓN ES….


• La seguridad de la información, según ISO 27001,consiste en la preservación de su confidencialidad,

integridad y disponibilidad, así como de los sistemasimplicados en su tratamiento, dentro de una organización

• “La seguridad de la información es el conjunto demedidas preventivas y reactivas de las organizaciones y delos sistemas tecnológicos que permiten resguardar yproteger la información buscando mantener laconfidencialidad, la disponibilidad e integridad de lamisma.” (Definición WEB)


16/49

ISO 27001

• ISO 27001 es una norma internacionalemitida por la Organización Internacional deNormalización (ISO)

• Describe cómo gestionar la seguridad de lainformación en una empresa.

• La revisión más reciente de esta norma fuepublicada en 2013 y ahora su nombrecompleto es ISO/IEC 27001:2013.

• La primera revisión se publicó en 2005 y fuedesarrollada en base a la norma británica BS7799-2.


http://www.iso27001standard.com/es/que-es-iso-

27001/


17/49

IMPORTANCIA DE LANORMA ISO 27001


• La información es un activo importante ysu protección requiere ser gestionada demanera adecuada.

• La norma ISO 27001 es la única normainternacional auditable que define losrequisitos para un Sistema de Gestión de laSeguridad de la Información (SGSI).

• ISO 27001 se adecua a cualquier tipo de

empresa si su objetivo es proteger suinformación más crítica.

• Esta norma es muy eficaz para empresasque gestionan o manipulan la informaciónde otros, por ejemplo, empresas desubcontratación de TI.

Fuente: Encuesta ISO sobre

certificaciones de la norma para

sistemas de gestión


18/49

DIFERENCIA SEGURIDAD DE

LA INFORMACIÓN YSEGURIDAD INFORMÁTICA


•Se centra en proteger las

infraestructuras

tecnológicas y de

comunicación

•Su análisis de riesgos se

centra en vulnerabilidades

del hardware o software,

•La seguridad de la

información tiene como

propósito proteger la

información de unaOrganización,

independientemente del

lugar en que se localice

http://seguridadinformacioncolombia.blogspot.com/


19/49


Fuente: Elaboración Adlene Rodriguez Ramirez


20/49


http://www.timetoast.com/timelines/historia-de-la-seguridad-informatica--2

http://20seginfosmec3a.blogspot.com/2012/11/linea-del-tiempo-de-la-historia-de.html


21/49


http://www.timetoast.com/timelines/historia-de-la-seguridad-informatica--2

http://20seginfosmec3a.blogspot.com/2012/11/linea-del-tiempo-de-la-historia-de.html


22/49

RESUMEN SEGURIDADDE LA INFORMACIÓN


La seguridad no es un conjunto de medidas que se toman por

única vez, sino un proceso dinámico en el que todos losactores juegan un rol permanente y debe de abarcar tres áreas

de incumbencia: Personas , Procesos y Tecnología.


23/49

OBJETIVOS DE LA

SEGURIDAD INFORMÁTICA


- .• Analizar los riesgos de seguridad adecuadamente para hacer posible ladetección de problemas y amenazas minimizando así los riesgos

• Garantizar la adecuada utilización de los recursos, de las aplicaciones, y

de los sistemas

• Limitar el impacto de la las perdidas, en el caso de producirse, y

conseguir la adecuada recuperación del sistema después de un incidente

de seguridad

• Cumplir el marco legal y con los requisitos impuestos a nivel

organizativo


24/49

RAMAS - PROFESIONES


ANALISTA DE SISTEMAS(OFICIAL DESEGURIDAD)

PENTESTER (ETICHALHACKER)

FORENSES

CRIPTOLOGOS YCRIPTOANALISTAS

(MATEMÁTICOS)

ADMINISTRADORES DEREDES, SEGURIDAD


25/49

PRINCIPIOS DE SEGURIDAD

DE LA INFORMACIÓN


- .


26/49

DISPONIBILIDAD


• Se refiere a la continuidad de acceso a los elementos de información

almacenados y procesados en un sistema informático.

• Basándose en este principio, las herramientas de Seguridad Informática

deben reforzar la permanencia del sistema informático, en condiciones

de actividad adecuadas para que los usuarios accedan a los datos con la

frecuencia y dedicación que requieran.

• Este principio es particularmente importante en sistemas informáticos

cuyo compromiso con el usuario, es prestar servicio permanente.


27/49

CONFIDENCIALIDAD


• Se refiere a la privacidad de los elementos de información

almacenados y procesados en un sistema informático.

• Basándose en este principio, las herramientas de seguridad informática

deben proteger al sistema de invasiones, intrusiones y accesos, por

parte de personas o programas no autorizados.

• Este principio es particularmente importante en sistemas distribuidos,

es decir, aquellos en los que usuarios, ordenadores y datos residen enlocalidades diferentes, pero están física y lógicamente interconectados.


28/49

INTEGRIDAD


• Se refiere a la validez y consistencia de los elementos de

información almacenados y procesados en un sistema informático.

• Basándose en este principio, las herramientas de seguridad

informática deben asegurar que los procesos de actualización

estén sincronizados y no se dupliquen, de forma que todos los

elementos del sistema manipulen adecuadamente los mismos

datos.

• Este principio es particularmente importante en sistemas

descentralizados, es decir, aquellos en los que diferentes usuarios,

ordenadores y procesos comparten la misma información.


29/49

OTROS CONCEPTOSIMPORTANTES


Autenticidad: Asegurar la identidad con certeza respecto al

origen y procedencia del los datos , la información o el sistema.

El objetivo que se pretende es la comprobación de que dichos

datos o información provienen realmente de la fuente que dice

ser.

No repudio: No repudio quiere decir que ni el emisor ni elreceptor de los datos pueden alegar que esa información no

proviene de su fuente.


30/49

RELACIÓN DE

CONCEPTOS



31/49

ACTIVOS


•Son Activos, los recursos del sistema de información o

relacionados con éste, necesarios para que la Organización

funcione correctamente y alcance los objetivos propuestos por

su dirección.

•El activo esencial es la información que maneja el sistema; o

sea los datos. Y alrededor de estos datos se pueden identificar

otros activos relevantes

•Los servicios que se pueden prestar gracias a aquellos datos.


32/49

PONDERACION DE ACTIVOS



33/49

CLASIFICACIÓN DE ACTIVOS



34/49



35/49



36/49

EVENTOS ADVERSOS


¿Qué son?

Alteraciones en las personas, la economía, los sistemas

sociales y el medio ambiente, causados por sucesos naturales,

o generados por la actividad humana, o por la combinaciónde ambos, que demanda la respuesta inmediata del ente

afectado

Es muy difícil precisar el día y la hora de ocurrencia de un

evento adverso; pero sí podemos saber la probabilidad de suocurrencia dentro de un periodo de tiempo más o menos

largo.


37/49

VULNERABILIDAD


Falla de un equipo, persona, sistema que puede generar

perjuicios en el mismo o los demás elementos que interactúencon este


38/49

AMENAZA


Factor externo, que representa una potencial ocurrencia de

un evento adverso, que puede manifestarse en un lugarespecífico, con una intensidad y duración determinadas.


39/49

TIPOS DE AMENAZA


Sucesos naturales:

Son aquellos en los que no interviene la actividad humana. Tectónicos (sismos, tsunamis,

erupciones volcánicas), Meteorológicos (huracanes, sequías, inundaciones) y Topológicos

(Avalanchas, Deslizamientos).

Sucesos generados por actividad humana:

Carreteras, aéreos, naufragios, trenes. Explosiones, incendios, derrames de sustancias

peligrosas. Radiaciones. Violencia Social. Accidentes químicos, biológicos, sustancias

peligrosas.

Sucesos mixtos:

Son producto de un proceso natural modificado por la actividad humana, como los

deslizamientos por deforestación de las laderas, sequías, derrumbes por mala construcción

de carreteras, canales, viviendas, etc.


40/49


41/49

RIESGO


Probabilidad de que una amenza explota una vulnerabilidad

Aceptable:

Son riesgos que la organización está en condiciones de

aceptar.

De desastre:

Los probables daños son significativos y su respuesta

demandará la utilización de recursos por encima de nuestras

posibilidades, alterando nuestras condiciones de desarrollo.

Determinados los riesgos, es necesario intervenirlos a fin de

modificarlos, eliminarlos, disminuir su magnitud, o en todo

caso, prepararnos para responder ante los daños esperados


42/49



43/49

Factores de riesgo

Tecnológicos: fallas de hardware y/osoftware, fallas en el aire acondicionado, fallaen el servicio eléctrico, ataque por virusinformáticos, etc.

Ambientales: factores externos, lluvias,inundaciones, terremotos, tormentas, rayos,suciedad, humedad, calor, entre otros.

Humanos: hurto, adulteración, fraude,modificación, revelación, pérdida, sabotaje,

vandalismo, crackers, hackers, falsificación,robo de contraseñas, intrusión, alteración,etc.

Impredecibles - Inciertos

Predecibles



44/49

Un mecanismo de seguridad informática es una técnica oherramienta que se utiliza para fortalecer la

confidencialidad, la integridad y/o la disponibilidad de unsistema informático.

Existen muchos y variados mecanismos de seguridadinformática. Su selección depende del tipo de sistema, desu función y de los factores de riesgo que lo amenazan.

Mecanismos de Seguridad Informática



45/49

Preventivos: Actúan antes de que un hecho ocurra y sufunción es detener agentes no deseados.

Detectivos: Actúan antes de que un hecho ocurra y sufunción es revelar la presencia de agentes no deseadosen algún componente del sistema. Se caracterizan porenviar un aviso y registrar la incidencia.

Correctivos: Actúan luego de ocurrido el hecho y sufunción es corregir las consecuencias.

Mecanismos de Seguridad InformáticaClasificación según su función



46/49

Planes de recuperación o planes de contingencia: Es unesquema que especifica los pasos a seguir en caso deque se interrumpa la actividad del sistema, con el

objetivo de recuperar la funcionalidad.

Dependiendo del tipo de contingencia, esos pasospueden ejecutarlos personas entrenadas, sistemasinformáticos especialmente programados o unacombinación de ambos elementos.

Mecanismos de Seguridad InformáticaEjemplos orientados a fortalecer la disponibilidad



47/49

Respaldo de los datos: Es el proceso de copiar loselementos de información recibidos, transmitidos,almacenados, procesados y/o generados por el sistema.

Existen muchos mecanismos para tomar respaldo,dependiendo de lo que se quiera asegurar. Algunosejemplos son: Copias de la información en dispositivos de

almacenamiento secundario, ordenadores paralelosejecutando las mismas transacciones, etc.

Mecanismos de Seguridad InformáticaEjemplos orientados a fortalecer la disponibilidad



48/49

Encripción o cifrado de datos: Es el proceso que se siguepara enmascarar los datos, con el objetivo de que seanincomprensibles para cualquier agente no autorizado.

Los datos se enmascaran usando una clave especial ysiguiendo una secuencia de pasos pre-establecidos,conocida como “algoritmo de cifrado”. El proceso inverso

se conoce como descifrado, usa la misma clave y devuelvelos datos a su estado original.

Mecanismos de Seguridad InformáticaEjemplos orientados a fortalecer la confidencialidad



49/49

Software anti-virus: Ejercen control preventivo, detectivoy correctivo sobre ataques de virus al sistema.

Software “firewall ” : Ejercen control preventivo ydetectivo sobre intrusiones no deseadas a los sistemas.

Software para sincronizar transacciones: Ejercen control

sobre las transacciones que se aplican a los datos.

Mecanismos de Seguridad InformáticaEjemplos orientados a fortalecer la integridad

Seguridad de La Información 2015 II Clase 1-2

Documents

Transcript of Seguridad de La Información 2015 II Clase 1-2