¿Qué es una política de seguridad y cuál es su objetivo?

[pic 1][pic 2][pic 3][pic 4][pic 5][pic 6][pic 7][pic 8][pic 9][pic 10][pic 11][pic 12][pic 13][pic 14]

[pic 15]

[pic 16]

[pic 17]

[pic 18]

[pic 19]

[pic 20]

[pic 21]

1. ¿Qué es una política de seguridad y cuál es su objetivo?

La política de seguridad es un conjunto de leyes, reglas y prácticas que regulan la manera de dirigir, proteger y distribuir recursos en una organización para llevar a cabo los objetivos de seguridad informática dentro de la misma. Definen lo que está permitido y lo que está prohibido, permiten definir los procedimientos y herramientas necesarias, definen la posición que toma la organización frente a la seguridad informática, cómo reaccionará frente a las distintas eventualidades y permiten adoptar una buena actitud dentro de la organización, logrando así minimizar los riesgos y gestionarlos adecuadamente, detectar vulnerabilidades, ser capaz de evitarlas y corregirlas, reducir lo más posible el costo económico ante un incidente de seguridad, asegurar la confidencialidad, integridad, disponibilidad y el no repudio de la información, entre otras.

1. Mencione los principios fundamentales de una política de seguridad.

• Integridad: que la información no se altere de forma no autorizada.
• Confidencialidad: que la información y recursos sean accesibles únicamente por las entidades autorizadas.
• Autenticidad: capacidad de verificar la autenticidad tanto de quien accede a los recursos como la de los recursos mismos.
• No Repudio: capacidad de probar la participación las partes en el acceso a los recursos,  se refiere a evitar que una entidad que haya enviado o recibido información alegue ante terceros que no la envió o recibió.
• Disponibilidad: que los recursos del sistema estén disponibles para las entidades autorizadas cuando éstas los necesiten.

1. ¿De qué se encargan las políticas para la confidencialidad?

Asegura que la información no pueda estar disponible o ser descubierta por o para personas, entidades o procesos no autorizados. Es la capacidad del sistema para evitar que personas no autorizadas puedan acceder a la información almacenada en él. Esto es importante porque el acceso, descubrimiento y manipulación no autorizado puede desencadenar una serie de consecuencias graves para la organización, ya sea perdida de información, disconformidad entre los empleados, etc.; consecuencias que se traducen en elevados costos económicos para la organización.

Los servicios de confidencialidad proveen protección de los recursos y de la información en términos del almacenamiento y de la información, para asegurarse que nadie pueda leer, copiar, descubrir o modificar la información sin autorización, así como interceptar las comunicaciones o los mensajes entre entidades.

1. ¿De qué se encargan las políticas para la integridad?

Garantiza que la información sea modificada, incluyendo su creación y borrado, sólo por el personal autorizado. El sistema no debe modificar o corromper la información que almacene, o permitir que alguien no autorizado lo haga ya sea de forma intencionadas o de forma accidental.

1. ¿Cuáles son los modelos de seguridad?

Un modelo de seguridad es la presentación formal de las políticas de seguridad, siendo éstos más precisos y detallados que las políticas, y se utilizan como directrices para crear y evaluar sistemas.

(FALTA COMPLETAR)

1. ¿Qué son los procedimientos preventivos?

Son una serie de normas y recomendaciones cuya finalidad consiste en prevenir la ocurrencia de un ataque informático y minimizar su efecto lo más posible e implica saber qué hacer y cómo reaccionar en forma adecuada ante cualquier eventualidad. Básicamente se concentran en el monitoreo de la información, recursos y entidades, registro de las actividades que se realizan en la organización y control de todos los recursos y de quienes acceden a ellos.

1. ¿Qué son los procedimientos correctivos?

Se encargan de reparar los errores cometidos o daños causados resultantes de un ataque informático, es decir, modifican el estado del sistema de modo que vuelva a su estado original y funcionamiento adecuado.

1. ¿Qué es un plan de contingencia?

Un plan de contingencia es una guía que define las acciones a realizar, recursos a utilizar y personal a emplear en caso de producirse un acontecimiento intencionado o accidental que inutilice o degrade los recursos informáticos o de transmisión de datos de una organización. Es decir, es la determinación precisa del quién, qué, cómo, cuándo y dónde en caso de producirse una anomalía en el sistema de información. Los objetivos de dicho plan son los de restablecer, lo más pronto posible, el procesamiento de aplicaciones críticas (aquellas necesarias para la recuperación) para posteriormente restaurar totalmente el procesamiento normal.

1. ¿Cuáles son las fases del plan de contingencia? y 10. ¿Qué actividades se realizan en cada fase del plan de contingencia?

Un plan de contingencia se puede dividir en ocho fase:

• Planificación: es la etapa donde se define y prepara el esfuerzo de planificación de contingencia. Las actividades durante esta fase incluyen:

• Definición explícita del alcance, indicando qué es lo que queda y lo que se elimina.
• Definición de las fases del plan de eventos y los aspectos sobresalientes de cada fase.

• Definición de una estrategia de planificación.
• Identificación y asignación de los grupos de trabajos, definición de los roles y de responsabilidades.
• Definición de un cronograma y su patrón principal.
• Identificación de las fuentes de financiamiento y beneficios del negocio; revisión del impacto sobre los negocios.
• Duración del enfoque y comunicación de las metas y objetivos, incluyendo los objetivos de la empresa.
• Definición de estrategias para la integración, consolidación, rendición de informes y arranque.
• Definición de los términos clave (contingencia, continuidad de los negocios, etc.)
• Desarrollo de un plan de alto nivel, incluyendo los recursos asignados.
• Obtención de la aprobación y respaldo de la empresa y del personal gerencial de mayor jerarquía.

• Análisis de riesgos: consta de dos etapas, la etapa de Identificación de Riesgos que busca minimizar las fallas generadas por cualquier caso en contra del normal desempeño de los sistemas y la de Reducción de Riesgo en donde se realiza un análisis de impacto económico y legal, determinar el efecto de fallas de los principales sistemas y producción de la organización. Las actividades durante esta fase incluyen:

• Realización un diagnóstico integral del Sistema.
• Elaborar una lista de Servicios afectados evaluando su importancia, magnitud del impacto, cuantificar con niveles, etc.
• Identificar todos los procesos de los servicios afectados.
• Analizar sólo los procesos críticos de los servicios.

• Identificación de soluciones: mediante una evaluación de riesgos, de fallas o interrupciones. Las actividades durante esta fase incluyen:

• Identificación de eventos activadores: son aquellos eventos ante los cuales se ejecutaría el plan de contingencias, por ejemplo fallas en el sistema, fallas de interface, problemas de implementación, etc.
• Identificación de soluciones: consiste en realizar distintos tipos de evaluaciones y documentar los riesgos, comparar, clasificar y darle niveles de prioridad a los riesgos identificados y así poder elaborar las soluciones correspondientes.

• Estrategias: que contemplan las diferentes opciones, soluciones, procedimientos manuales, etc.; con el objetivo de identificar prioridades y determinar en forma razonable las soluciones a ser seleccionadas en primera instancia o los riesgos a ser encarados en primer lugar.

• Documentación del proceso: en forma de un manual o instructivo para lograr una difusión adecuada de todos los puntos importantes involucrados en el plan de contingencias. En esta etapa se incluyen tareas como:

• Cuadro de descripción de los equipos y las tareas para ubicar las soluciones a las contingencias.
• La documentación de los riesgos, opciones y soluciones por escrito y en detalle.
• La identificación y documentación de listas de contacto de emergencia, la identificación de responsables de las funciones con el fin de garantizar que siempre haya alguien a cargo, y que pueda ser contactada si falla un proceso de importancia.

• Realización de pruebas y validaciones: donde se seleccionan casos y las soluciones que probablemente funcionen para realizar pruebas, entrenamiento de persona, etc. y así obtener una retroalimentación para modificar y mejorar el plan de contingencias. En esta etapa se incluyen tareas como:

• Establecer un plan de emergencias que establece las acciones que se deben realizar cuando se presenta una eventualidad.
• Formas equipos de trabajo con funciones y roles caramente definidos.
• Entrenamiento con el respaldo de un programa de prácticas periódicas.
• Evaluación de los daños que se han producido, que sistemas están afectados, equipos no operativos, cuáles se pueden recuperar, en cuanto tiempo, etc.
• Priorizar las actividades del plan de acción.
• Ejecutar las actividades.
• Evaluar los resultados.
• Obtener una retroalimentación del plan de acción para poder optimizar el plan original, mejorar las actividades que tuvieron dificultades y reforzar las que funcionaron adecuadamente.

• Implementación: se da cuando han ocurrido o están por ocurrir los problemas y se tiene que tener preparado los planes de contingencia para poder aplicarlos. Puede también tratarse esta etapa como una prueba controlada.

• Monitoreo: nos dará la seguridad de que podamos reaccionar en el tiempo preciso y con la acción correcta. Esta fase es primordialmente de mantenimiento. Cada vez que se da un cambio en la infraestructura, debemos de realizar un mantenimiento correctivo o de adaptación. Las actividades principales a realizar son:

• Desarrollo de un mapa de funciones y factores de riesgo.
• Establecer los procedimientos de mantenimiento para la documentación y la rendición de informes referentes a los riesgos.
• Revisión continua de las aplicaciones.
• Revisión continua del sistema de backup.
• Revisión de los Sistemas de soporte eléctrico.

1.  Busque y exponga dos políticas de acceso a una red WIFI. Una perteneciente a una organización pública y otra a una Privada.

• Política de Uso de la Red Inalámbrica de la Universidad de Almería (http://inalambrica.ual.es/politicadeuso.htm) y Política de Seguridad (http://inalambrica.ual.es/doc/politica_seguridad_ual.pdf).
• Política de Seguridad de Acceso a Internet y Redes Inalámbricas del Grupo LATAM Airlines:

http://portal.lan.com/portal/documents/23701/0/SI+-+Acceso+a+Internet+ES/c2a90d67-ee35-4192-b8db-f23205037734

[pic 22]

...