Revista Seguridad Informatica

UNIVERSIDAD INTERAMERICANA

PARA EL DESARROLLO SEDE CHETUMAL

LIC. ING. SISTEMAS DE INFORMCACION

SEGURIDAD INFORMÁTICA

REVISTA ELECTRONICA

PRÓLOGO

Esta revista digital tratara de unos temas relacionados con la SEGURIDAD INFORMATICA, la cual en estos tiempos en suma importancia conocer de este mala por el motivo que aumenta el conocimiento de la tecnología y muchos la utiliza para un beneficio maligno.

Por esto es el motivo e importancia de esta revista, esperemos que encuentren información de su gusto.

Índice

PROLOGO 2

ANÁLISIS DE RIESGOS INFORMÁTICOS 4

PROCESO DE ADMINISTRACIÓN DE RIESGO. 7

LAS AMENAZAS Y RIESGOS 8

EVALUACIÓN DE LOS RIESGOS 9

SGSI 10

METODOLOGÍA MAGERIT 12

MECANISMO DE SALVAGUARDA. 13

ACTIVOS 14

MEDIO DE TRANSMISIÓN INALÁMBRICAS 18

CONJUNTO DE MEDIDAS PARA REDUCIR RIESGOS 24

CRIPTOGRAFÍA 26

FIRMA DIGITAL 27

ESTENOGRAFÍA 28

CERTIFICADO DIGITAL 29

Ataques informáticos 30

BIOGRAFÍA

GLOSARIO 30

Análisis de riesgos informáticos

El análisis de riesgos informáticos es un proceso que comprende la identificación de activos informáticos, sus vulnerabilidades y amenazas a los que se encuentran expuestos así como su probabilidad de ocurrencia y el impacto de las mismas, a fin de determinar los controles adecuados para aceptar, disminuir, transferir o evitar la ocurrencia del riesgo.

Teniendo en cuenta que la explotación de un riesgo causaría daños o pérdidas financieras o administrativas a una empresa u organización, se tiene la necesidad de poder estimar la magnitud del impacto del riesgo a que se encuentra expuesta mediante la aplicación de controles. Dichos controles, para que sean efectivos, deben ser implementados en conjunto formando una arquitectura de seguridad con la finalidad de preservar las propiedades de confidencialidad, integridad y disponibilidad de los recursos objetos de riesgo.

Proceso de análisis de riesgos informáticos

El proceso de análisis de riesgo genera habitualmente un documento al cual se le conoce como matriz de riesgo. En este documento se muestran los elementos identificados, la manera en que se relacionan y los cálculos realizados. Este análisis de riesgo es indispensable para lograr una correcta administración del riesgo.

La administración del riesgo hace referencia a la gestión de los recursos de la organización. Existen diferentes tipos de riesgos como el riesgo residual y riesgo total así como también el tratamiento del riesgo, evaluación del riesgo y gestión del riesgo entre otras. La fórmula para determinar el riesgo total es:

RT (Riesgo Total) = Probabilidad x Impacto Promedio

A partir de esta fórmula determinaremos su tratamiento y después de aplicar los controles podremos obtener el riesgo residual.

Como se describe en el BS ISO/IEC 27001:2005, la evaluación del riesgo incluye las siguientes actividades y acciones:

• Identificación de los activos.

• Identificación de los requisitos legales y de negocios que son relevantes para la identificación de los activos.

• Valoración de los activos identificados.

• Teniendo en cuenta los requisitos legales identificados de negocios y el impacto de una pérdida de confidencialidad, integridad y disponibilidad.

• Identificación de las amenazas y vulnerabilidades importantes para los activos identificados.

• Evaluación del riesgo, de las amenazas y las vulnerabilidades a ocurrir.

• Cálculo del riesgo.

• Evaluación de los riesgos frente a una escala de riesgos preestablecidos.

Después de efectuar el análisis debemos determinar las acciones a tomar respecto a los riesgos residuales que se identificaron. Las acciones pueden ser:

• Controlar el riesgo.- Fortalecer los controles existentes y/o agregar nuevos controles.

• Eliminar el riesgo.- Eliminar el activo relacionado y con ello se elimina el riesgo.

• Compartir el riesgo.- Mediante acuerdos contractuales parte del riesgo se traspasa a un tercero.

• Aceptar el riesgo.- Se determina que el nivel de exposición es adecuado y por lo tanto se acepta.

Consideraciones

No se olvide que en las empresas la seguridad comienza por dentro. Capacitando al personal, creando normas basadas en estándares, analizando brechas y puntos ciegos en la seguridad lógica y en la seguridad de sistemas de información.

Es fundamental la creación de escenarios de conflicto en forma continua participando la gerencia de la empresa junto con un auditor en seguridad, a partir de estos escenarios pueden lograrse medidas para evitar eventos de seguridad.

Elementos relacionados

• Activo. Es un objeto o recurso de valor empleado en una empresa u organización

• Amenaza. Es un evento que puede causar un incidente de seguridad en una empresa u organización produciendo pérdidas o daños potenciales en sus activos.

• Vulnerabilidad. Es una debilidad que puede ser explotada con la materialización de una o varias amenazas a un activo.

• Riesgo. Es la probabilidad de ocurrencia de un evento que puede ocasionar un daño potencial a servicios, recursos o sistemas de una empresa.

• Análisis. Examinar o descomponer un todo detallando cada uno de los elementos que lo forman a fin de terminar la relación entre sus principios y elementos.

•

Elementos relacionados

• Control. Es un mecanismo de seguridad de prevención y corrección empleado para disminuir las vulnerabilidades

LAS AMENAZAS Y RIESGOS

S G S I

SGSI son las siglas utilizadas para referirse a un Sistema de Gestión de la Seguridad de la Información, una herramienta de gran utilidad y de importante ayuda para la gestión de las organizaciones. Además del concepto central sobre el que se construye la norma ISO 27001.

En este apartado se van a tratar los conceptos más importantes relacionados con este tipo de sistemas de cara a tener una noción básica de los Sistemas de Gestión de la Seguridad de la Información

...