SEGURIDAD INFORMATICA

Introducción a la Seguridad Informática

Gestión del Riesgo

Resulta ilusorio creer que los riesgos puedan eliminarse por complete, en su lugar deben reducirse a niveles aceptables.

Lo más sorprendente es que esta reducción del riesgo se puede conseguir con muy poco esfuerzo y modesta inversión.

El riesgo no puede eliminarse completamente, pero puede reducirse.

Antes de lanzarse a implantar medidas de seguridad se deber realizar una labor previa de análisis:

1. Identificar cuáles son los activos a proteger de la organización.

2. Identificar las amenazas a que están expuestos los activos.

3. Identificar los riesgos que suponen las amenazas para los activos.

En consecuencia, no todas las medidas de seguridad ni las más importantes deben basarse en la tecnología y por tanto en la adquisición de software o hardware de seguridad, sino también en la organización de tareas y responsabilidades, el riesgo no puede eliminarse completamente, pero pueden reducirse.

Amenazas a la Información

Se puede definir como amenaza a todo elemento o acción capaz de atentar contra la seguridad de la información.

Las amenazas surgen a partir de la existencia de vulnerabilidades, es decir que una amenaza sólo puede existir si existe una vulnerabilidad que pueda ser aprovechada, e independientemente de que se comprometa o no la seguridad de un sistema de información.

Diversas situaciones, tales como el incremento y el perfeccionamiento de las técnicas de ingeniería social, la falta de capacitación y concientización a los usuarios en el uso de la tecnología, y sobre todo la creciente rentabilidad de los ataques, han provocado en los últimos años el aumento de amenazas intencionales.

Las cuatro categorías generales de ataques son las siguientes:

1. Creación de información.

2. Modificación de información

3. Intercepción de información

4. Interrupción de información.

GESTION DE SEGURIDAD EN EL ESPACIO

Todos los productos existentes en el mercado de seguridad informática cumplen una función de entre las siguientes:

• Prevenir

• Detectar

• Recuperar

Gestión de Seguridad en el Tiempo

La seguridad informática debe plantearse desde una estrategia de actuación cíclica que puede subdividirse para acometida en tres tareas principales:

1. Alcanzar la Seguridad

2. Mantener la Seguridad

3. Evaluar la Seguridad

Políticas de Seguridad

La planificación ayuda a plantearse objetivos realistas y definir las líneas de actuación que permitan alcanzarlos. Una política de seguridad de la información completa y sólida suele comprender tres tipos de políticas de seguridad:

1. Política de seguridad de información a nivel Empresarial.

2. Políticas de seguridad de asuntos específicos.

3. Políticas de seguridad de Sistemas específicos.

El siguiente nivel lo constituyen los estándares, que definen los requisitos obligatorios para el uso homogéneo de hardware, software y controles de seguridad. El último nivel se encuentra las normas, directrices y procedimientos.

• POLITICAS

• ESTANDARES

• NORMAS, DIRECTRICES Y PROCEDIMIENTOS

En muchas empresas, especialmente las de reducido tamaño, se tiene una percepción negativa de las políticas de seguridad, ya que se piensa que constituyen una pérdida de tiempo o de productividad o que sirven para restringir, poner trabas al trabajo cotidiano.

Esta visión negativa normalmente se deriva de una tensión entra las diferentes perspectivas de los miembros de una organización con respectos a los controles de seguridad:

 A los usuarios no

...