Paradigmas de La Seguridad-comentario
Click here to load reader
-
Upload
wilberth-ek-chimal -
Category
Documents
-
view
39 -
download
0
Transcript of Paradigmas de La Seguridad-comentario
CARRERALIC. EN INFORMÁTICA
ASIGNATURASEGURIDAD PERIMETRAL
SEMESTRE9°
GRUPO“A”
TRABAJOPARADIGMAS DE LA SEGURIDAD INFORMATICA
ALUMNOSPATRICIA ALHELI GOMEZ MEJIAWILBERTH STALYN EK CHIMALJOSE RAMON ROSADO EUANMARISSA GPE. MAY CETZAL
OSCAR FERNANDO CANCHE CAAMALJOSE MATUSALEM CHIMAL COCOM
DOCENTELIC. ERICK ALBERTO CUPUL BURGOS
VALLADOLID YUCATÁN A 20 DE JUNIO DE 2012
PARADIGMAS EN LA SEGURIDAD INFORMATICA
PLANTEAMIENTO DEL TEMA
En la actualidad la gran mayoría de las empresas están optando por utilizar
sistemas informáticos para resguardar su activo más importante que es la
información, pero la gran desventaja es que a medida que va avanzando la
tecnología, al mismo tiempo aumentan los riesgos de ser vulnerables a los
diversos tipos de ataques informáticos que circulan en la red.
Es por ello que es importante enfocarse al tema de seguridad ya que de ello
depende que la información se encuentre integra y segura, de manera que todas
las decisiones que toma la empresa depende de la exactitud y veracidad de dicha
información.
INVESTIGACION Y ARGUMENTACION
Según (Edinson Martinez & Giraldo) dice que la función inicial de una auditoria
informática es estrictamente económico-financiera y busca optimizar los recursos
de todo el componente informático de la organización, pero con los nuevos
desarrollos tecnológicos se ha ido especializando y profundizando.
La auditoría contiene elementos de análisis, de verificación y de exposición de
debilidades y disfunciones. Aunque pueden aparecer sugerencias y planes de
acción para eliminar las disfunciones y debilidades antedichas; estas sugerencias
plasmadas en el Informe final reciben el nombre de recomendaciones.
1
Es muy importante aclarar el concepto de Auditoria de seguridad informática
puesto que se puede llegar a confundir con la clásica auditoria de sistemas y
aunque son dos conceptos similares en primera instancia, los objetivos y enfoque
de cada uno son diferentes.
La auditoría de seguridad informática analiza los procesos relacionados
únicamente con la seguridad, ésta puede ser física, lógica y locativa pero siempre
orientada a la protección de la información. Para un proceso de auditoría de
seguridad informática es muy importante ser ordenado y meticuloso y para esto es
necesario adoptar una metodología.
La auditoría de seguridad informática consiste en la evaluación, análisis y
generación de soluciones para el recurso computacional de la organización.
Los procesos cubren cuatro frentes específicos:
Auditoría desde Internet
Auditoría desde la red interna
Trabajo sobre los equipos
Ejecución de entrevistas sobre el manejo de las políticas de seguridad
física, lógica y locativa de los miembros de la organización
Según (Cano, 2010) menciona Una auditoría es un proceso formal utilizado para
medir aspectos de alto nivel de la infraestructura de seguridad desde la
perspectiva organizacional.
El proceso de auditoría generalmente se lleva a cabo por auditores EDP
(Electronic Data Processing) certificados bajo las directrices de un comité, quién
reporta a las directivas de la organización o a un ente externo mandado por la ley.
2
Según (Vargas Aviles, 2009) afirma que los objetivos de la auditoria informática
son verificar el control interno de la función informática, asegurar a la alta dirección
y al resto de las áreas de la empresa que la información que les llega es la
necesaria en el momento oportuno, y es fiable, ya que les sirve de base para
tomar decisiones importantes, eliminar o reducir al máximo la posibilidad de
pérdida de la información por fallos en los equipos, en los procesos o por una
gestión inadecuada de los archivos de datos y detectar y prevenir fraudes por
manipulación de la información o por acceso de personas no autorizadas a
transacciones que exigen trasvases de fondos.
Según (Alvarez Pineda, 2009) menciona que la evaluación de la seguridad
informática es uno de los rubros que están incrementando su popularidad dentro
del ambiente informático, es el relacionado con la seguridad del área de sistemas;
con ello se incrementa cada día más la necesidad de evaluar la seguridad y
protección de los sistemas, ya sea en los accesos a los centros de cómputo, en el
ingreso y utilización de los propios sistemas y en la consulta y manipulación de la
información contenida en sus archivos, la seguridad de las instalaciones, del
personal y los usuarios de sistemas, así como de todo lo relacionado con el
resguardo de los sistemas computacionales.
En esta evaluación también se incluyen el acceso al área de sistemas, el acceso
al sistema, la protección y salvaguarda de los activos de esta área, las medidas de
prevención y combate de siniestros, y muchos otros aspectos que se pueden
valorar mediante una auditoría de sistemas.
3
Según (Cano, 2010) La evaluación de seguridad está orientada a establecer
mayores detalles técnicos de la seguridad del infraestructura de una organización.
Son menos formales y tienden a ofrecer mayor detalle y alcance que las
auditorías. La evaluación es considerada un arte, en comparación con el enfoque
estructurado que desarrollan los auditores.
La evaluación usualmente se encuentra enfocada a identificar los detalles técnicos
de las debilidades de seguridad, que luego conforman las bases para las
recomendaciones y correcciones en la infraestructura de la compañía.
Según la organización (Guru, 2009) dice que El servicio de pruebas de
penetración ofrecido por blueMammut permite identificar los riesgos asociados a
las vulnerabilidades de los activos informáticos de las organizaciones. El servicio
provee una detallada identificación de las vulnerabilidades presentes en el
entorno, su nivel de riesgo real y detalladas recomendaciones para remediarlas.
La metodología está basada en proceso de pruebas manuales y automatizadas
que identifican todos los tipos de vulnerabilidades, incluyendo fallas lógicas, las
cuales no son típicamente detectadas durante un análisis de vulnerabilidades.
Las pruebas de penetración incluyen en el análisis de todas las medidas de
seguridad, incluyendo firewalls, appliances, IPS e IDS; y políticas de complejidad
de contraseñas, actualizaciones de software y desarrollo de aplicaciones.
4
Según (Cano, 2010) menciona que las pruebas de penetración es un ejercicio en
cual se encuentran involucrados expertos en tecnología o profesionales
certificados en seguridad informática, quienes reportan a un comité ad-hoc
seleccionado por la organización, que pretende demostrar que una infraestructura
es vulnerable, penetrando en ella a través de ataques controlados desde dentro o
fuera de la organización.
Generalmente el reporte de una prueba de penetración explica paso a paso cómo
se llevó a cabo la actividad hasta alcanzar y penetrar la infraestructura de
comunicaciones. Así mismo, documenta cómo se aprovecharon las debilidades de
los programas o deficiencias en las configuraciones del hardware para ingresar de
manera no autorizada al perímetro de comunicaciones de la empresa.
Según (Villegas, 2012) dice que La prueba de penetración es una técnica que nos
permite evaluar los puntos críticos de seguridad de un sistema mediante la
simulación de ataques al mismo. Estos ataques pueden estar simulados desde la
perspectiva de un atacante ajeno al sistema (no tienen acceso) o un uno interno
(tienen algún nivel de acceso) y nos permiten poner en evidencia falencias en la
seguridad del sistema y comprobar cuál es el impacto real de las mismas en un
ambiente controlado.
La prueba de penetración está dentro del campo de acción Seguridad Informática
y es ejecutada por los Pentesters, quienes tienen los skills necesarios en el
manejo de herramientas, en la gestión del proyecto, metodologías y etapas del
test, así como un sólido conocimiento en sistemas y arquitecturas de redes.
5
EMISION DE JUICIOS
La postura de la autora Jeimy Cano habla acerca de los tres paradigmas de la
seguridad informática, estos paradigmas son la auditoria de seguridad informática,
la evaluación de la seguridad informática y las pruebas de penetración.
Esta misma autora afirma que una auditoria es un proceso formal utilizado para
medir aspectos de alto nivel de la infraestructura de seguridad, la cual nos quiere
decir que este proceso solo verificara aquellas áreas donde el grado de seguridad
se supone que es elevado, con la finalidad de buscar vulnerabilidades o fallos.
Desde nuestro punto de vista la auditoria informática debe ser realizada en todas
las áreas de la organización sin importar el grado de seguridad que tenga dicho
departamento, ya que todas las diversas áreas que conforman una organización
requieren de una evaluación a su seguridad para poder catalogar que tan seguro
es la metodología utilizada para proteger los recursos más importantes de la
institución.
Es por ello que consideramos que la opinión más acertada o más completa es la
de los autores Edison Martínez y Giraldo, ya que ellos exponen que la auditoria
busca optimizar los recursos de todo componente informático de la organización,
esto se lograra según ellos con los nuevos desarrollos tecnológicos que han sido
desarrollados en materia de seguridad, por lo que coincidimos con esa definición,
por su parte decimos que es la argumentación más completa porque estos autores
comparan y dicen que no es lo mismo una auditoria de seguridad informática que
6
una auditoria de sistemas, ya que cada tipo de auditoria tiene sus propios
objetivos a cumplir y por si fuera poco cada una tiene su propio enfoque.
Estos dos autores dicen que para que una auditoria de seguridad informática sea
bien realizada se deben de seguir cuatro procesos fundamentales, los cuales son
la auditoria del internet, de la red interna, hacia los equipos de trabajo y por ultimo
las políticas de seguridad. En lo personal estamos de acuerdo que si se verifican
estos 4 aspectos al momento de realizar una auditoría, podemos saber son
delicadeza que grado de seguridad se está manejando dentro de la organización,
y así también poder reforzar en todos los aspectos que se encuentren bajos en
cuanto a seguridad, ya que solo reforzando esos aspectos se lograra una mejor
seguridad y protección hacia los recursos más valiosos de la institución.
Otro de los paradigmas que menciona la autora Jeimy Cano es acerca de la
evaluación de seguridad informática, donde dice que este proceso aporta más
detalles acerca de los rasgos de seguridad que una auditoria, ya que es realizada
por expertos en el área y con un grado de experiencia elevado. Desde nuestro
punto de vista consideramos que tanto la auditoria y la evaluación de seguridad
informática aportan los resultados necesarios y complejos para poder determinar
el grado de seguridad que contiene una determinada organización, ya que ambos
procesos se llevan a cabo por personas especializadas en el área y no es que una
sea mejor que la otra, es claro que son procesos completamente diferentes que se
siguen en cada uno de ellos pero ambos tiene el mismo objetivo que es la
seguridad informática.
7
Por otro lado el autor Álvarez pineda menciona que la evaluación de la seguridad
informática está incrementando su popularidad dentro del ambiente informático, ya
que cada día más organizaciones cuenta con áreas de sistemas donde se
requiere de esta evaluación, con la finalidad de poder brindar la mayor seguridad a
las áreas de se maneja información de gran importancia y de alto valor
organizacional. Es por ello que este proceso engloba una evaluación general tanto
del personal que labora dentro de las áreas de sistemas como los métodos o
técnicas utilizadas para proteger su información.
En nuestra opinión personal ambos coincidimos de que este autor tiene razón ya
que día a día aumenta la demanda por parte de las organización por querer
evaluar y saber que tan segura es su información dentro de la empresa, así como
para saber qué tan fácil o difícil puede ser el acceso hacia los sistemas por parte
de terceras personas, esto con la finalidad de poder obtener una lista detallada en
lo que se es vulnerable para poder implementar nuevas técnicas de seguridad
para poder reforzar la integridad tanto de los sistemas como de la información.
Y por si fuera poco Jeimy Cano habla acerca del ultimo paradigma que es las
pruebas de penetración, la cual dice que es un ejercicio práctico donde expertos
en seguridad informática, se reúnen para poder hacer pruebas e intentar acceder
a la infraestructura de la organización que se encuentre protegida, con el fin de
detectar vulnerabilidades. Desde nuestro punto de vista esta práctica es bastante
buena siempre y cuando sea realizada por expertos que se encuentren
certificados en seguridad ya así se tendrá la seguridad de que solo intentaran
burlar la seguridad y no provocarán algún robo o delito hacia nuestra información,
8
ya que existen muchas personas que hacen estas pruebas con la finalidad de
obtener o robar información confidencial para a la organización, lo cual sería
catastrófico para la institución ya que en vez de recibir una ayuda provocara serios
problemas en cuanto a la eficacia y eficiencia de la organización.
En base a lo anterior estamos de acuerdo con lo que dice el autor Villegas ya que
consideramos que es el que aporta una definición más clara y concisa acerca de
las pruebas de penetración, ya que el afirma que es una técnica que permite
evaluar los puntos críticos de seguridad de un sistema mediante la simulación de
ataques al mismo, es por ello que nos queda claro que este proceso es tan
efectivo, pera a la vez hay que tener cuidado al momento aplicarlo dentro de
nuestra organización ya que sino elegimos a las personas adecuadas o aptas para
realizar esta técnica estaríamos exponiendo nuestros sistemas a intrusos que solo
buscan dañar los sistemas que componen nuestra organización.
CONCLUSION
En conclusión podemos observar que estos tres paradigmas en la seguridad
informática son importantes ya que en base a ellos podemos catalogar y saber el
grado de seguridad que se está manejando dentro de una organización para poder
proteger tanto los sistemas como la información de las misma, por otro lado es
importante que las organizaciones se den cuenta de la gran importancia que tiene
la seguridad en sus sistemas ya que solo así estarán aislados de los miles de
delitos informáticos que hoy en día existen.
9
BIBLIOGRAFÍA
Alvarez Pineda, J. E. (14 de 05 de 2009). Recuperado el 20 de 06 de 2012, de
http://www.slideshare.net/vidalcruz/evaluacion-de-la-seguridad-de-los-
sistemas-informaticos
Cano, J. (21 de 07 de 2010). Recuperado el 19 de 06 de 2012, de
http://www.derechotecnologico.com/estrado/estrado003.html
Edinson Martinez, J., & Giraldo, C. A. (s.f.). Recuperado el 19 de 06 de 2012, de
http://artemisa.unicauca.edu.co/~ecaldon/docs/audit/ponencia_PASSWOR
D_siti2004.pdf
Guru, s. (2009). SGuia. Recuperado el 20 de 06 de 2012, de
http://sg.com.mx/guia/node/1587
Vargas Aviles, J. R. (21 de 03 de 2009). Recuperado el 20 de 06 de 2012, de
http://jrvargas.files.wordpress.com/2009/03/conceptos-basicos-de-auditoria-
informatica.pdf
Villegas, A. (18 de 04 de 2012). Recuperado el 20 de 06 de 2012, de
http://alejandrovillegasqa.blogspot.mx/2012/04/prueba-de-penetracion.html
10