Seguridad Y Politicas

De acuerdo al caso propuesto por tu Facilitador(a) deberás realizar un análisis deriesgos, además de vincularlo a las políticas de seguridad.

Análisis de Riesgo

La empresa con giro comercial de caja de ahorro y préstamo, la cual esta estructura de la siguiente manera:

1. En el área de TI, cuenta con 2 programadores, un administrador de la base de datos, 1 administrador de la red y servidores, y 1 de soporte técnico.

2. EL servidor de archivos tiene el sistema operativo Windows server 2008, 45 PC´s, 3 laptops, 2 routers, 3 switch, 2 acces point, un enlace a internet.

3. Las 30 PC´s cuentan con sistema operativos Windows 7 a 32 bits, Office 2010, y una aplicación desarrollada para el control de los clientes, el sistema gestor de la base de datos es SQL Server.

4. Todos las Pc’s y Laptops cuentan con licenciamiento al igual que el office y antivirus

5. Los usuarios tienen acceso a su propio correo asignado, con dominio de la empresa y acceso a Internet.

6. Se realizan respaldos diarios del sistema de información, dependiendo de último que se retira del departamento de TI.

7. Uno de los programadores desarrolla software para otras compañías con diferente giro por su propia cuenta.

Previo a la actividad:

Leer el Documento Cap 1. Principios de la seguridad informática leer desde la página 19 y ver el siguiente video que esta en este link http://www.youtube.com/watch?v=g7EPuzN5Awg-

1. Identifica los pasos a seguir para el análisis de riesgos.

Una gestión de riesgos permite saber cuáles son las vulnerabilidades de sus activos de información y cuáles son las amenazas que podrían explotar las vulnerabilidades

.

Como ya conoces cuales son los activos que manejan las empresas, contesta las siguientes preguntas

1.-¿Que se Busca Proteger?

Se busca protegerse de las amenazas, vulnerabilidades, impacto

2.- Investiga que son las políticas de seguridad.

Una Política de Seguridad es un conjunto de requisitos definidos por los responsables de un sistema, que indica en términos generales que está y que no está permitido en el área de seguridad durante la operación general del sistema.

Las políticas de seguridad incluyen reglas, procedimientos y prácticas que la organización impone en un sistema IT para protegerlo.

La política se refleja en una serie de normas, reglamentos y protocolos a seguir, donde se definen las medidas a tomar para proteger la seguridad del sistema; pero ante todo, una política de seguridad es una forma de comunicarse con los usuarios.

Siempre hay que tener en cuenta que la seguridad comienza y termina con personas.

2. Investiga las estrategias más adecuadas para definir las políticas de seguridad en una organización. (Investigue en diferentes páginas, no tome la primera información que vean, y comparen las estrategias para definir políticas)

Para definir y establecer las políticas de seguridad se debe hacer un análisis de aquellos fallos de seguridad o posibles deficiencias que pongan en peligro la seguridad de la información.

Para ello se analizan todas las áreas de la organización y sus vulnerabilidades aplicando una corrección o previniendo cualquier fallo en la seguridad de la información y de capital humano.

Las estrategias a tomar son:

• Se deben tomar en cuenta las exigencias y alcances que incluyen facilidades, sistemas y personal sobre la cual se aplica.

• Proteger activos (personas, información, infraestructura y sistemas).

• Objetivos de la política y descripción clara de los elementos involucrados en su definición

• Definir reglas para la conducta esperada del personal y usuarios

• Responsabilidades de los usuarios con respecto a la información a la que tiene acceso

• Requerimientos mínimos para configuración de la seguridad de los sistemas que abarca el alcance de la política.

• Definir y autorizar sanciones en caso de una violación.

• Crear conciencia entre el personal sobre la importancia y protección de los activos, principalmente de la información.

Estas estrategias se emplean para definir una política de seguridad tomando en cuenta todos los recursos y como se debe manejar cada activo para resguardar la seguridad.

3.-Relaciona el análisis con las políticas con base al caso expuesto y redacta un informe

Para nuestro caso definimos las estrategias y su impacto en cada punto

1,.En el área de TI, cuenta con 2 programadores, un administrador de la base de datos, 1 administrador de la red y servidores, y 1 de soporte técnico.

El administrador de bases de datos es el que tiene permitidas todas las operaciones, conceder privilegios y establecer usuarios. Por lo cual cualquier mal uso de la información que está contenida en la base de datos es una amenaza si esta llega a ser destruida, copiada sin autorización o difundida, las amenazas para las bases de datos son intrusos que sin autorización roban o destruyen la información y en algunos casos los mismos usuarios son quienes hacen mal uso de su cargo.

Medidas de seguridad

Físicas: Controlar el acceso al equipo. Tarjetas de acceso, etc

Personal: Acceso sólo del personal autorizado.

SO: Seguridad a nivel de SO

SGBD: Uso herramientas de seguridad que proporcione el SGBD. Perfiles de usuario, vistas, restricciones de uso de vistas, etc.

Para el administrador de la red y servidores así como soporte técnico son responsables de la administración de los equipos de cómputo, sistemas de información y redes de Las Empresas.

Vela por todo lo relacionado con la utilización de equipos de cómputo, sistemas de información, redes informáticas, procesamiento de datos e información y la comunicación en sí, a través de medios electrónicos.

Las principales amenazas para los servidores son aquellos bugs que los desarrolladores o administradores encuentran y a su vez estas son publicadas de manera que la información se pueda difundir para la solución inmediata, estas fallas son un hueco abierto para que los intrusos o personas no autorizadas accedan a los servidores, de aquí la tarea del administrador es aplicar los parches para cerrar esta hueco, los crackers tienen acceso a las mismas fuentes e intentarán utilizar esta información para violar sistemas que no hayan sido emparchados. Una buena administración de sistemas requiere vigilancia, seguimiento constante de errores y un mantenimiento de sistemas apropiado para asegurar un ambiente computacional seguro.

Por otro lado

...