Manual De Seguridad De Redes

En una organización la gestión de seguridad puede tornarse compleja y difícil e realizar, esto no por razones técnicas, más bien por razones organizativas, coordinar todos los esfuerzos encaminados para asegurar un entorno informático institucional, mediante la simple administración de recurso humano y tecnológico, sin un adecuado control que integre los esfuerzos y conocimiento humano con las técnicas depuradas de mecanismos automatizados, tomará en la mayoría de los casos un ambiente inimaginablemente hostil, para ello es necesario emplear mecanismos reguladores de las funciones y actividades desarrolladas por cada uno de los empleados de la institución.

El documento que se presenta como normas y políticas de seguridad, integra estos esfuerzos de una manera conjunta. Éste pretende, ser el medio de comunicación en el cual se establecen las reglas, normas, controles y procedimientos que regulen la forma en que la institución, prevenga, proteja y maneje los riesgos de seguridad en diversas circunstancias.

Toda persona que utilice los servicios que ofrece la red, deberá conocer y aceptar el reglamento vigente sobre su uso, el desconocimiento del mismo, no exonera de responsabilidad al usuario, ante cualquier eventualidad que involucre la seguridad de la información o de la red institucional.

En términos generales el manual de normas y políticas de seguridad informática, engloba los procedimientos más adecuados, tomando como lineamientos principales dos criterios, que se detallan a continuación:

Seguridad Física y Lógica

Seguridad Física

La Seguridad Física, son todos aquellos mecanismos generalmente de prevención y detección destinadas a proteger físicamente cualquier recurso del sistema; estos recursos son desde un simple teclado hasta un backup con toda la información que hay en el sistema, pasando por el propio CPU de la máquina.

De esta manera se describen las medidas que están diseñadas para negar el acceso a personal no autorizado de acceder físicamente a un edificio, instalaciones, recursos o información almacenada, y orientación sobre cómo diseñar las estructuras para resistir a los posibles actos hostiles. Una buena seguridad física utiliza el concepto de defensa en capas, en las combinaciones adecuadas para impedir y retrasar intrusiones (defensa pasiva), y detectar y responder a las intrusiones (defensa activa).

Los problemas más comunes en la seguridad física son las siguientes:

Acceso Físico.

Desastres Naturales.

Alteraciones de Entorno.

Acceso Físico: Si alguien que desee atacar un sistema tiene acceso físico al mismo todo el resto de medidas de seguridad implantadas se convierten en inútiles.

Prevención:

Tarjetas Inteligentes.

Videocámaras.

Cerrar las Salas con Llave.

Desastres Naturales: terremotos y vibraciones, tormentas eléctricas, inundaciones, humedad, incendios y humos.

Prevención:

No situar equipos en sitios altos para evitar caídas.

No colocar elementos móviles sobre los equipos para evitar que caigan sobre ellos.

Separar los equipos de las ventanas para evitar que caigan por ellas o qué objetos lanzados desde el exterior los dañen.

Utilizar fijaciones para elementos críticos.

Colocar los equipos sobre plataformas de goma para que esta absorba las vibraciones.

Alteraciones en el Entorno: problemas que pueden afectar el régimen de funcionamiento habitual de las máquinas como la alimentación eléctrica, el ruido eléctrico producido por los equipos o los cambios bruscos de temperatura.

Electricidad: quizás los problemas derivados del entorno de trabajo más frecuentes son los relacionados con el sistema eléctrico que alimenta a los equipos; cortocircuitos, picos de tensión, cortes de flujo. Para corregir los problemas con las subidas de tensión podremos instalar tomas de tierra o filtros reguladores de tensión

Temperaturas extrema: no hace falta ser un genio para comprender que las temperaturas extremas, ya sea un calor excesivo o un frío intenso, perjudican gravemente a todos los equipos. En general es recomendable que los equipos operen entre 10 y 32 grados Celsius.

Seguridad Lógica

Existe un viejo dicho en la seguridad informática que dicta que “todo lo que no está permitido debe estar prohibido” y esto es lo que debe asegurar la seguridad lógica, podemos pensar en la seguridad lógica como la manera de aplicar procedimientos que aseguren que solo podrán tener acceso a los datos las personas o sistemas de información autorizados para hacerlos. Los objetivos que se plantean serán:

1. Restringir el acceso a los programas y archivos.

2. Los operadores deben trabajar sin supervisión minuciosa y no podrán modificar ni programas archivos que no correspondan.

3. Asegurar que se estén utilizando los datos, archivos y programas correctos en y por el procedimiento correcto.

4. Asegurar que la información transmitida sea recibida solo por el destinatario al cual ha sido dirigida y por ningún otro.

5. Asegurar que la información que el destinatario ha recibido sea la misma que ha sido transmitida.

6. Se debe disponer de sistemas alternativos de transmisión de información entre diferentes puntos.

Controles de Acceso: pueden implementarse a nivel de sistemas operativos, de sistemas de información, en bases de datos, en un paquete específico de seguridad o en cualquier otro utilitario. Estos controles constituyen una ayuda importante para proteger al sistema operativo de la red, a los sistemas de información y software adicionales; de que puedan ser utilizadas (os) o modificadas (os) sin autorización; también para mantener la integridad de la información (restringiendo la cantidad de usuarios y procesos con autorización de acceso) y para resguardar la información confidencial de accesos no autorizados.

Las consideraciones relacionadas al procedimiento que se lleva a cabo para determinar si corresponde un permiso de acceso solicitado por un usuario, a un determinado recurso son planteadas por el National Institute for Standards and Technology (NIST) en el NIST Handbook1; donde se encuentran resumidos los siguientes esquemas para dotar de seguridad a cualquier sistema:

• Identificación y Autentificación: se constituye en la primera línea de defensas para la mayoría de los sistemas computarizados, al prevenir el ingreso de personas no autorizadas y es la base para casi todos los controles de acceso, además permite efectuar un

...