Post on 27-Jan-2016
description
Seguridad de la Información
Fundamentos de la Seguridad
de la Información
Fundamentos de la Seguridad de la Información
2
Temario
Amenazas a la Seguridad de la InformaciónConfidencialidadIntegridadDisponibilidadPolíticas de Seguridad de la InformaciónNormas vigentesMecanismos de control de acceso a los sistemas de informaciónAdministración de claves de accesoPolítica de pantalla y de escritorios limpiosIngeniería SocialCódigo MaliciosoAmenazas en la navegación por InternetUso seguro del correo electrónicoReporte de incidentes de seguridad
Fundamentos de la Seguridad de la Información
3
¿Qué se debe Asegurar?
La información debe considerarse
un activo importante con el que cuentan las Organizaciones
para satisfacer sus objetivos, razón por la cual, tiene un alto
valor para las mismas y es crítica para su desempeño y
subsistencia.Por tal motivo, al igual que el resto de los activos organizacionales, debe asegurarse que esté debidamente
protegida.
Fundamentos de la Seguridad de la Información
4
¿Contra qué se debe proteger la información?
(destrucción parcial o total por incendio inundaciones, eventos eléctricos y otros)
como de orden deliberado, tal como fraude, espionaje, sabotaje, vandalismo,
etc.
Las “buenas prácticas” en Seguridad de la
Información, protegen a ésta contra una amplia
gama de amenazas, tanto de orden fortuito
Fundamentos de la Seguridad de la Información
5
Vulnerabilidades y Amenazas
Una vulnerabilidad es una debilidad en un activo.
Una amenaza es una violación potencial de la seguridad. No es necesario que la violación ocurra para que la amenaza exista. Las amenazas “explotan” vulnerabilidades.
Fundamentos de la Seguridad de la Información
6
Amenazas
AMENAZAS
Maliciosas
No Maliciosas
Internas
Impericia
Humanas
Externas
IncendiosTerremotosInundaciones
Naturales
Fundamentos de la Seguridad de la Información
7
¿Qué se debe garantizar?
Se garantiza que la información es accesible sólo a aquellas personas autorizadas.
1. CONFIDENCIALIDAD
Fundamentos de la Seguridad de la Información
8
¿Qué se debe garantizar?
2. INTEGRIDAD
Se salvaguarda la exactitud y totalidad de la información y los métodos de procesamiento y transmisión.
Fundamentos de la Seguridad de la Información
9
¿Qué se debe garantizar?
Se garantiza que los usuarios autorizados tienen acceso a la información y a los recursos relacionados toda vez que lo requieran.
3. DISPONIBILIDAD
Fundamentos de la Seguridad de la Información
10
Aumento de los niveles de seguridad Aumento de los niveles de seguridad en las organizacionesen las organizaciones
La implementación de una “PSI”, le permite a las Organizaciones cumplir una gestión efectiva de los recursos de información críticos e instalar y administrar los mecanismos de protección adecuados, determinando qué conductas son permitidas y cuáles no.
Esto redundará en una efectiva reducción de los niveles de riesgo y de las vulnerabilidades, lo cual, en definitiva, se traduce en ahorro de tiempo y dinero, genera mayor confianza y un fortalecimiento de la imagen institucional.
Política de Seguridad de Ia Información
Fundamentos de la Seguridad de la Información
11
Planificación de actividadesPlanificación de actividadesA través de la actuación de distintos actores las Organizaciones pueden armar una efectiva planificación de las actividades a desarrollar, con el objetivo de hacer más seguros sus sistemas.
Esto es importante pues no sólo asegura que se abarquen todas las áreas relevantes, si no también el cumplimiento de los objetivos.
Mejora ContinuaMejora ContinuaLa PSI describe, no solamente los aspectos a tener en cuenta en el proceso del alcance de los objetivos en materia de Seguridad de la Información, sino también los criterios de revisión y mejora continua para mantenerlos.
PSI
Fundamentos de la Seguridad de la Información
12
PSI
InvolucramientoInvolucramientoUd. es muy importante para la organización, y como tal debe involucrarse en el cumplimiento de la PSI.
ConocimientoConocimientoEs necesario que ud. conozca y comprenda la PSI de su Organización.
Fundamentos de la Seguridad de la Información
13
DA 669/2004
Todos los organismos de la APN deben contar con:
Una PSI aprobada e implementada.
Un responsable de seguridad informática.
Un comité de seguridad de la información para el tratamiento de dichos temas.
Fundamentos de la Seguridad de la Información
14
Obligaciones Obligaciones de los funcionarios públicosde los funcionarios públicos Ley 25.164Ley 25.164
Observar el deber de fidelidad y guardar la discreción correspondiente o la reserva absoluta, en su caso, de todo asunto del servicio que así lo requiera.
Hacer uso indebido o con fines particulares del patrimonio estatal.
Protección de la Información
en la APN
Fundamentos de la Seguridad de la Información
15
Obligaciones de los funcionarios públicos Obligaciones de los funcionarios públicos Ley 25.188Ley 25.188
Abstenerse de utilizar información adquirida en el cumplimiento de sus funciones para realizar actividades no relacionadas con sus tareas oficiales o de permitir su uso en beneficio de intereses privados.
Proteger y conservar la propiedad del Estado y sólo emplear sus bienes con los fines autorizados.
Prevención de uso no adecuado de recursos informáticos en la APN
Fundamentos de la Seguridad de la Información
16
Dato personalDato personal Toda información relativa a una persona física o
jurídica
Requisitos para el tratamiento de datos Requisitos para el tratamiento de datos personalespersonales
Consentimiento libre, expreso e informado del Titular de los datos
Existen algunas excepciones al consentimiento, tales como DNI, Nombre, ocupación, domicilio, etc.
Derechos del titularDerechos del titular Controlar el tratamiento de sus datos
personales Acceder a sus datos personales
contenidos en archivos de terceros Solicitar supresión, actualización o
corrección de sus datos personales
Protección de Datos PersonalesLey 25.326
Fundamentos de la Seguridad de la Información
17
¿Qué protege? ¿Qué protege? Los derechos de autor de los programas de
computación fuente y objeto; las compilaciones de datos o de otros materiales.
ConsecuenciasConsecuencias Los funcionarios públicos únicamente podrán
utilizar material autorizado por el Organismo. El Organismo solo podrá autorizar el uso
de material conforme los términos y condiciones de las licencias de uso.
La infracción a estos derechos puede tener como resultado acciones legales que podrían derivar en demandas penales.
Ley N° 11.723/25.036
Propiedad Intelectual
Fundamentos de la Seguridad de la Información
18
Documento DigitalDocumento Digital... Representación digital de actos o hechos con independencia del soporte utilizado para su fijación, almacenamiento o archivo ...
Firma DigitalFirma Digital... Resultado de aplicar a un documento digital un procedimiento matemático que requiere información de exclusivo conocimiento del firmante
Ley N° 25.506 – Firma Digital
Se reconoce la eficacia jurídica al empleo Se reconoce la eficacia jurídica al empleo de la Firma Digital.de la Firma Digital.
Fundamentos de la Seguridad de la Información
19
Firma Digital
Conjunto de datos expresados en formato digital, utilizados como método de identificación de un firmante y de verificación de la integridad del contenido de un documento digital, que cumpla con los siguientes requisitos:
haber sido generado exclusivamente por su titular utilizando una clave que se encuentre bajo su absoluto y exclusivo controlser susceptible de verificaciónestar vinculado a los datos del documento digital poniendo en evidencia su alteración
Fundamentos de la Seguridad de la Información
20
Para asegurar el acceso a la información, se deben realizar tres pasos fundamentales: IdentificaciónIdentificación
Indicarle al sistema cuál es la cuenta de usuario a utilizar.
AutenticaciónAutenticaciónDemostrarle al sistema, por ejemplomediante la introducción de una clave,que el usuario es quien dice ser.
AutorizaciónAutorizaciónProbar que el usuario tiene permiso para acceder al recurso.
Acceso a los Sistemasde Información
Fundamentos de la Seguridad de la Información
21
Acceso a los Sistemas de Información
Para que el sistema autentique a un usuario hay que disponer y exhibir:
Algo que se conoce (Nombre de Usuario y Clave de Acceso)
Algo que se posee (Por Ejemplo: una tarjeta magnética)
Algo que se es, una característica personal y única (Por ejemplo: la huella digital)
Lo ideal es hacer una combinación de 2 factoresLo ideal es hacer una combinación de 2 factores
Fundamentos de la Seguridad de la Información
22
Clave de Acceso
Es un conjunto de caracteres escrito por el usuario siguiendo una norma preestablecida, que lo identificarán ante el sistema de información.Debe ser:Debe ser: personal secreta intransferible modificable solo por su titulardifícil de averiguar
Fundamentos de la Seguridad de la Información
23
Normas para construir unaClave de Acceso
No utilice palabras comunes ni nombres de fácil deducción por terceros (nombre de mascota)
No las vincule a una característica personal, (teléfono, D.N.I., patente del automóvil, etc.).
No utilice terminología técnica conocida (admin)
Combine caracteres alfabéticos, mayúsculas y minúsculas, números, caracteres especiales.
Constrúyalas utilizando al menos 8 caracteres.
Use claves distintas para máquinas diferentes y/o sistemas diferentes.
Fundamentos de la Seguridad de la Información
24
Use un acrónimo de algo fácil de recordar Ej: NorCarTren (Norma , Carlos, Tren)
Añada un número al acrónimo para mayor seguridad: NorCarTren09 (Norma, Carlos, Tren, Edad del hijo)
Mejor aún, si la frase origen no es conocida por otros: Verano del 42: Verdel4ydos
Elija una palabra sin sentido, aunque pronunciable. (galpo-glio)
Realice reemplazos de letras por signos o números. (3duard0palmit0)
Elija una clave que no pueda olvidar, para evitar escribirla en alguna parte. (arGentina6-0)
Normas para construir unaClave de Acceso
Fundamentos de la Seguridad de la Información
25
Claves de AccesoNormas de Uso
Cuide que no lo vean cuando tipea su clave.
No observe a otros mientras lo hacen.
No escriba la clave en papelitos, ni post-it, ni en archivos sin cifrar.
No comparta su clave con otros.
No pida la clave de otro.
No habilite la opción de “recordar claves” en los programas que utilice.
Fundamentos de la Seguridad de la Información
26
Claves de AccesoNormas de Uso
Si por algún motivo tuvo que escribir la clave, no la deje al alcance de terceros (debajo del teclado, en un cajón del escritorio) y NUNCA pegada al monitor.
NUNCA envíe su clave por correo electrónico ni la mencione en una conversación, ni se la entregue a nadie, aunque sea o diga ser el administrador del sistema.
No mantenga una contraseña indefinidamente. Cámbiela regularmente, aunque las políticas de Administración de Claves no lo obliguen.
Fundamentos de la Seguridad de la Información
27
Escritorio Limpio
Durante el día:Durante el día:
Guarde los documentos sensibles bajo llave.
Si utiliza una notebook, manténgala en un lugar seguro para evitar robos.
No deje pendrives, CD’s, diskettes, u otro elemento removible con información en lugares visibles y accesibles.
Guarde su portafolio o cartera en muebles seguros.
Fundamentos de la Seguridad de la Información
28
No deje accesible documentos impresos queNo deje accesible documentos impresos que
contengan datos sensibles, por ejemplo: contengan datos sensibles, por ejemplo:
Datos de Empleados Contratos Números de Cuenta Informes confidenciales Información con Propiedad Intelectual Nombres de Usuarios y Passwords (claves)
Escritorio Limpio
Fundamentos de la Seguridad de la Información
29
Al terminar el día, tómese unos minutos para:Al terminar el día, tómese unos minutos para:
Juntar y guardar en forma segura el material sensible.
Cerrar con llave gabinetes, cajones y oficinas.
Asegurar el equipo costoso (notebook, PDA, etc.).
Destruir en forma efectiva los documentos sensibles que tiró al canasto de basura (usar máquinas picadoras de papel, etc).
Revisar que deja su lugar de trabajo en orden, los equipos apagados y ningún documento sin guardar, antes de irse definitivamente de su oficina.
Escritorio Limpio
Fundamentos de la Seguridad de la Información
30
Pantalla Blanca
Nunca deje desatendida su terminal.
Si debe abandonar, aunque sea momentáneamente, su puesto de trabajo, bloquee su terminal con las facilidades que provee el sistema operativo o con un salvapantallas que solicite el ingreso de una clave para desbloquear la terminal.
Fundamentos de la Seguridad de la Información
31
La Ingeniería Social (literalmente del inglés: Social Engineering) es un conjunto de acciones que se realizan con el fin de obtener información a través de la manipulación de usuarios legítimos.
Es un conjunto de trucos, engaños o artimañas que permiten confundir a una persona para que entregue información confidencial, ya sea los datos necesarios para acceder a ésta o la forma de comprometer seriamente un sistema de seguridad.
Ingeniería Social
Fundamentos de la Seguridad de la Información
32
Ingeniería Social
Todo el personal debe ser educado, desde los operadores de computadoras hasta el personal de limpieza.
No informar telefónicamente a nadie (por más que se arroguen cargos directivos o funciones especificas de tecnología) de las características técnicas de la red, nombre de personal a cargo, claves de acceso, etc.
Controlar el acceso físico al sitio donde se encuentran los equipos de procesamiento y comunicaciones.
La mejor manera de estar prevenido,
es tener conocimiento del tema“ ”
Fundamentos de la Seguridad de la Información
33
Programa de computadora escrito para producir inconvenientes, destrucción, o violar la política de seguridad.
Tipos
Virus: Necesita interacción del usuarioTroyanos: Doble funcionalidad: Una conocida y una oculta.Gusanos: AutoreplicaciónEtc
Nota: Ningún antivirus puede detectar todo los programas maliciosos!
Código Malicioso
Fundamentos de la Seguridad de la Información
34
Ejemplos de cosas que puede hacer:
Borrar archivos del disco rígido para que la computadora se vuelva inoperable.
Infectar una computadora y usarla para atacar a otras.
Obtener informacion sobre ud., los sitios web que visita, sus hábitos en la computadora.
Capturar sus conversaciones activando el microfono.
Ejecutar comandos en la computadora, como si lo hubiera hecho ud.
Robar archivos del equipo, por ejemplo aquellos con información personal, financiera, etc.
Código Malicioso
Fundamentos de la Seguridad de la Información
35
Navegación Web: Verificar el destino de los
enlacesEn algunas ocasiones, el enlace no coincide con la dirección del sitio real de la empresa que dice solicitar la información. Esto puede servir para mostrar páginas engañosas o no solicitadas.
Se recomienda:Se recomienda:
Verificar el destino en “Propiedades”.
Escribir el enlace tal cual lo conocemos en una ventana nueva del navegador.
Fundamentos de la Seguridad de la Información
36
Navegación Web: Buenas prácticas
Evitar acceder a sitios desconocidos o no confiables.
No aceptar la instalación automática de software.
No descargar archivos ejecutables.
No dejar información sensible en páginas o foros.
Si debe enviar información sensible: Solo hacerlo en sitios seguros (https) Verificar el certificado del sitio.
Consulte con su administradorsobre configuración segura del navegador.
Fundamentos de la Seguridad de la Información
37
Correo Electrónico: Propagación de código
malicioso
Muchos virus, para su propagación, no solo utilizan la libreta de direcciones de correo, sino que utilizan también las direcciones de correos enviados o de otras carpetas donde encuentren direcciones de correo.
Es importante tratar Es importante tratar
con sumo cuidado con sumo cuidado
los archivos adjuntos.los archivos adjuntos.
Fundamentos de la Seguridad de la Información
38
No abrir archivos adjuntos de origen desconocido.
No abrir archivos adjuntos que no esperamos recibir, aunque nos parezca que su origen es conocido.
No abrir adjuntos que tengan extensiones ejecutables.
No abrir adjuntos que tengan más de una extensión.
Chequear con el remitente la razón por la cual nos envió un archivo adjunto.
Archivos Adjuntos: Buenas prácticas
Fundamentos de la Seguridad de la Información
39
Reenvío de Correo Electrónico:Buenas Prácticas
Si, por motivos laborales, debe reenviar un Si, por motivos laborales, debe reenviar un correo electrónico:correo electrónico:
Borre la/s dirección/es de correo del/los remitente/s
O mejor aún: copie el contenido del correo original y arme uno nuevo
Si lo reenvía a más de una persona, utilice la opción de enviar “Copia Oculta”
¡¡¡ No sea un reenviador compulsivo de correos electrónicos !!!
Fundamentos de la Seguridad de la Información
40
Cadena de Correo Electrónico
Armar cadenas de correos electrónicos, es una de las herramientas que se utilizan comercialmente para obtener direcciones de correo electrónico y armar bases de datos con las mismas.También es una oportunidad que se le brinda a los piratas informáticos, pues obtienen blancos reales a los que enviarles virus y todo tipo de software malicioso.
Fundamentos de la Seguridad de la Información
41
@@
Cadena de Correo electrónico
Debería cambiarse esa forma de pensar, por Debería cambiarse esa forma de pensar, por ésta:ésta:
No sé si será cierto, pero por las dudas lo reenvío…
No sé si será cierto, pero por las dudas NO lo reenvío…
”“Es común leer en las cadenas de correo electrónico:Es común leer en las cadenas de correo electrónico:
”“
Fundamentos de la Seguridad de la Información
42
Correo electrónico: Hoax
Hoax es un vocablo que significa “engaño” o Hoax es un vocablo que significa “engaño” o “broma”.“broma”.
Los hay de distintos tipos:
Alertas sobre virus “incurables”
Mensajes de temática religiosa
Cadenas de solidaridad
Cadenas de la suerte
Leyendas urbanas
Métodos para hacerse millonario
Regalos de grandes compañías
Seguridad de la Informaciónen las Tareas Cotidianas
Fundamentos de la Seguridad de la Información
43
Hoax: ¿Cómo descubrirlos?
Suelen tener frases catastróficas y/o alarmistas
Suelen no estar firmados ni tener información válida de contacto.
También pueden contener frases amenazantes o que lo pueden hacer sentir mal
Suelen estar mal redactados, o con vocablos que no son propios del país o región
Algunos son malas traducciones del inglés u otro idioma (traductores automáticos)
Nos piden que lo reenviemos !!!
Fundamentos de la Seguridad de la Información
44
Mensajes no solicitados (SPAM)
Spam son mensajes no solicitados, habitualmente de tipo publicitario, enviados en cantidades masivas.
Los spammers utilizan diversas técnicas para armar largas listas de direcciones de correo a las cuales enviarles spam:
Búsqueda de direcciones en paginas web y foros
Captura de direcciones en cadenas de correo Suscripciones a Listas de correo Compra de bases de datos de direcciones de
correo Acceso no autorizado en servidores de correo
Fundamentos de la Seguridad de la Información
45
SPAM: Recomendaciones No deje su dirección de correo electrónico en
cualquier formulario o foro de Internet. No responda los correos no solicitados.
Bórrelos. Es lo más seguro. En general, no conviene enviar respuesta a la
dirección que figura para evitar envíos posteriores.
Configure filtros o reglas de mensaje en el programa de correo para filtrar mensajes de determinadas direcciones.
No configure “respuesta automática” para los pedidos de acuse de recibo.
No responda a los pedidos de acuse de recibo de orígenes dudosos.
Fundamentos de la Seguridad de la Información
46
Solicitud de datos confidenciales: Phishing
Pueden recibirse correos electrónicos de empresas conocidas, solicitando información personal confidencial.Generalmente piden el envío de información, o tienen un link hacia páginas camufladas.
Las técnicas más usadas son:Las técnicas más usadas son: Mensajes alarmistas para forzar
al usuario a acceder al enlace web indicado en el mail.
Pedidos de envío de datos en forma inmediata. Las páginas suelen tener poco tiempo de publicación.
Fundamentos de la Seguridad de la Información
47
Solicitud de datos confidenciales Phishing
En el caso de recibir pedidos de envío de información confidencial, se recomienda:
Comunicarse telefónicamente con la Empresa, para confirmar el pedido.
Nunca enviar por correo información confidencial sin cifrar.
Verificar el origen del correo.
Verificar el destino de los enlaces.
Fundamentos de la Seguridad de la Información
48
Incidente
Un incidente de seguridad, es un evento adverso que puede afectar a un sistema o red de computadoras.
Puede ser causado por una
falla en algún mecanismo de seguridad, un intento o amenaza (concretada o no) de romper mecanismos de seguridad, etc.
Fundamentos de la Seguridad de la Información
49
Incidentes
Los usuarios de servicios de información, al momento de tomar conocimiento directa o indirectamente acerca de una debilidad de seguridad, son responsables de registrar y registrar y comunicarcomunicar las mismas al Responsable de Seguridad de la Información o a las Autoridades del Organismo.
Fundamentos de la Seguridad de la Información
50
Porque reportar Incidentes
Para saber qué es lo que está pasando, aprender de la experiencia, responder más eficientemente la próxima vez, etc.
A su vez el organismo debe reportar los incidentes al ArCERT (http://www.arcert.gov.ar), para que este pueda colaborar en la resolución del incidente y coordinar acciones con otros organismos del sector público para que no sufran los mismos ataques.
Fundamentos de la Seguridad de la Información
51
Incidentes - ¿Qué deben hacer los usuarios?
Registrar los síntomas del problema y los mensajes que aparecen en pantalla.
Establecer las medidas de aplicación inmediata ante la presencia de una anomalía.
Alertar inmediatamente al Responsable de Seguridad de la Información o del Activo de que se trate.
Fundamentos de la Seguridad de la Información
52
Desinstalar el software que supuestamente tiene una anomalía.
Realizar pruebas para detectar y/o utilizar una supuesta debilidad o falla de seguridad.
Tratar de solucionar por su cuenta los problemas que pudieran aparecer.
Incidentes - ¿Qué NO deben hacer los usuarios?