Actividad 1 Preguntas interpretativas

Preguntas interpretativas

1. Antes que nada, un gestor de seguridad debe entender de manera intuitiva los modelos de transmisión y recepción de información. Use una situación de la vida cotidiana, diferente a la expresada en la documentación, para explicarle a sus empleados los elementos del modelo de transmisión-recepción de información.

RTA: Un ejemplo sería una simple llamada telefónica, digamos que la secretaria de una compañía necesita realizar una reservación en un restaurante para una reunión de su jefe, por lo tanto la secretaria llama al restaurante y allí le contesta la recepcionista y sostienen una conversación, después de haber realizado la reserva acaban la llamada telefónica.

Aquí se puede observar el modelo de transmisión-recepción de información, ya que la secretaria actúa como la fuente de información , el teléfono de la secretaria es el emisor ya que este dispositivo es el que codifica los datos para enviarlos, el canal seria el camino o red que utiliza la telefonía local para llegar al teléfono de la recepcionista, el cual puede ser cualquier tecnología, como cobre o fibra en la cual existe ruido, el receptor seria el teléfono de la recepcionista, el cual decodifica la información para que la recepcionista pueda entender, por último el destino será la recepcionista del restaurante.

1. Es objetivo principal del gestor de seguridad explicar el efecto de las políticas de seguridad informática. Explique a los directores de la empresa la siguiente expresión “Las PSI no generan un sistema más óptimo, ni más rápido, ni más eficiente a la hora de procesar información, pero son vitales para la organización”

RTA: La políticas de seguridad informática son lineamientos para proteger el hardware, los programas así como la información que es generada y almacenada en los equipos. Pero no cumple con la función de optimizar la red de la organización, ya que su función principal es asegurar la información, la cual es el activo intangible más valioso de una empresa y generalmente el más descuidado. La pérdida de información puede ser considerada inaceptable y peor aún la fuga o mal uso de la misma.

Preguntas argumentativas

1. La gestión principal de seguridad de una red se da en la capa 4 cuando se habla de elementos técnicos, y en la capa 8 cuando se habla de elementos administrativos. ¿Por qué?

RTA: La capa 4 o de transporte del modelo OSI define el esquema en el que 2 computadores establecen contacto y comunicación por medio de protocolos TCP o UDP, los cuales tienen la función de garantizar la comunicación entre 2 equipos, independiente de la red que usen para su conexión, por lo tanto a nivel técnico estos protocolos contiene políticas de seguridad siendo TCP el mas seguro.

A nivel administrativo todo depende del usuario final y de la organización cumpliendo a cabalidad las políticas de seguridad informática, esta capa se denomina “capa 8”, de nada le sirve a una organización tener implementado las mejores PSI si los empleados no las ejecutan con responsabilidad.

1.  ¿Por qué debemos tener en cuenta la capa 8 a la hora de generar una política de seguridad informática?

RTA: Porque al final la seguridad informática y de la información recae sobre el usuario final quien administra y gestiona la información importante. Debido a esto, las buenas prácticas en seguridad en la capa 8 es indispensable para prevalecer la seguridad informática en una empresa.

Preguntas propositivas

1. De acuerdo con los tipos de redes existentes, y la estructura de la empresa en la que se encuentra, proponga la forma en la que los elementos deben interconectarse entre sí, tanto en los edificios, como entre las sedes de una misma ciudad, y a su vez con la sucursal en la capital. Defina el tipo de red por alcance, por topología, por dirección de los datos, y todas las características que considere deba tener la definición de la misma.

RTA: Por tener una sede en otra ciudad se ve la necesidad de utilizar una red a nivel WAN, que tenga canales separados de internet y de datos con backup de cada uno, así se conectaría hacia Bogotá desde la sede central de Medellín, con las sedes dentro de Medellín también utilizaría la misma topología con canales redundantes para que el servicio que se entregue tenga alta disponibilidad, en realidad estos serían canales dedicados y se asemeja a la topología de malla ya que conectan a internet por medio de la red MPLS del proveedor. Con respecto a la seguridad de la red, se tienen que tener dispositivos de seguridad como firewall, encriptores, y un sistema de proxy para la salida a internet. Toda la información de la empresa debe estar encriptada, esto se realiza por medio del firewall en cada sede, como también se puede crear VPNs entre las diferentes sedes para que sea más seguro la transferencia de información. Los servidores que alojan la información de la empresa deben estar conectados a varios sistemas de seguridad, como un antispam, firewall, proxy, balanceador, entre otros. Por otra parte se deben crear políticas de seguridad informática para concientizar a los empleados de la empresa de la importancia de la información que gestionan.

1. Proponga un plan de trabajo de comunicación inicial, teniendo en cuenta los diversos problemas en capa 8, para explicar las medidas de seguridad que se impondrán. Tenga en cuenta que en este plan no debe estar incluído lo que se dirá, ni el porqué, sino solo los pasos a seguir para comunicar las PSI, las personas involucradas y prioritarias, los tipos de problemas que se cubrirán, etc.

RTA: Se propone el siguiente plan de trabajo para comunicar las PSI:

• Realizar un análisis de riesgo y vulnerabilidades en todas las dependencias de la empresa.
• Definir un esquema de seguridad claro y conciso según las falencias encontradas en el análisis.
• Reunir a los coordinadores de cada área para socializar las PSI, concientizándolos de las falencias encontradas.
• Crear compromiso de responsabilidad en los empleados de la empresa por medio de seminarios y conferencias sobre las PSI.
• Realizar seguimiento de la adaptación de las PSI en los empleados de la empresa.
• Desarrollar informes y reportes de análisis de riesgo y vulnerabilidades, comparando los niveles de mejora en la seguridad de la empresa.