Curso de Seguridad Informática Material Docente de Libre Distribución

Presentación del tema: "Curso de Seguridad Informática Material Docente de Libre Distribución"— Transcripción de la presentación:

1 Curso de Seguridad Informática Material Docente de Libre Distribución
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Tema 3 Seguridad Física Curso de Seguridad Informática Ultima actualización: 10/02/02 Archivo con 39 diapositivas NOTAS SOBRE EL TEMA: Material Docente de Libre Distribución Dr. Jorge Ramió Aguirre Universidad Politécnica de Madrid Este archivo forma parte de un curso completo sobre Seguridad Informática y Criptografía. Se autoriza su uso, reproducción en computador e impresión en papel sólo para fines docentes, respetando siempre los derechos del autor. Curso de Seguridad Informática © Jorge Ramió Aguirre © Jorge Ramió Aguirre Tema 3: Seguridad Física.

2 Nota del autor El contenido de este archivo
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Nota del autor El contenido de este archivo corresponde sólo a un primer borrador en relación con el tema de la seguridad física. Aunque ésta puede tener igual o más importancia que la seguridad lógica relacionada directamente con el uso de algoritmos de cifra y firma digital y la protección de la información mediante técnicas criptográficas, de las que este curso hace una mayor profundización, se actualizará este material e incluirán nuevos temas. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

3 Seguridad Física Los datos deben protegerse aplicando:
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Seguridad Física Los datos deben protegerse aplicando: Seguridad Lógica Uso de herramientas de protección de la información en el mismo medio en el que se genera o transmite. Seguridad Física Procedimientos de protección física del sistema (incendios, agua, terremotos, etc.). Medidas de prevención de riesgos tanto físicos como lógicos. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

4 Seguridad Física en entornos de PCs
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Seguridad Física en entornos de PCs Anclajes a mesas de trabajo. Cerraduras. Tarjetas con alarma. Etiquetas con adhesivos especiales. Bloqueo de disquetera. Protectores de teclado. Tarjeta de control de acceso al hardware. Suministro ininterrumpido de corriente. Toma de tierra. Eliminación de la estática... etc. Temas a tener en cuenta en un entorno PC NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

5 Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución
Análisis de riesgos Proceso de identificación y evaluación del riesgo a sufrir un ataque y perder datos, tiempo y horas de trabajo, comparándolo con el costo de la prevención de esta pérdida. Su análisis no sólo lleva a establecer un nivel adecuado de seguridad: permite conocer mejor el sistema que vamos a proteger. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

6 Información del análisis de riesgos (1)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Información del análisis de riesgos (1) Información que se obtiene en un análisis de riesgos: Determinación precisa de los recursos sensibles de la organización. Identificación de las amenazas del sistema. Identificación de las vulnerabilidades específicas del sistema. Identificación de posibles pérdidas. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

7 Información del análisis de riesgos (2)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Información del análisis de riesgos (2) Información que se obtiene en un análisis de riesgos (continuación): Identificación de la probabilidad de ocurrencia de una pérdida. Derivación de contramedidas efectivas. Identificación de herramientas de seguridad. Implementación de un sistema de seguridad eficiente en costes y tiempo. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

8 Conceptos teóricos de análisis de riesgos
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Conceptos teóricos de análisis de riesgos ¿ B  P  L ? B: Peso o carga que significa la prevención de una pérdida específica. P: Probabilidad de ocurrencia de una pérdida específica. L: Impacto total de una pérdida específica. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

9 ¿Cuándo y cuánto invertir en seguridad?
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución ¿Cuándo y cuánto invertir en seguridad? Si B  P  L Hay que implementar una medida de prevención. Si B  P  L No es necesaria una medida de prevención. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

10 Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución
Efectividad del coste El control ha de tener menos coste que el valor de las pérdidas debido al impacto de ésta si se produce el riesgo temido. Ley básica: el costo del control ha de ser menor que el activo que protege. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

11 El factor L en la ecuación de riesgo (1)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución El factor L en la ecuación de riesgo (1) Factor L El factor de impacto total L es difícil de evaluar. Incluye daños a la información, equipos, pérdidas por reparación, por levantar el sistema y pérdidas por horas de trabajo. Hay una parte subjetiva. La pérdida de datos puede llevar a una pérdida de oportunidades. Efecto cascada. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

12 El factor L en la ecuación de riesgo (2)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución El factor L en la ecuación de riesgo (2) Recomendación: En la organización debe existir una comisión especializada interna o externa que sea capaz de evaluar todas las posibles pérdidas y cuantificarlas. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

13 El factor P en la ecuación de riesgo
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución El factor P en la ecuación de riesgo Factor P El factor P está relacionado con la determinación de impacto total L. Depende del entorno en el que esté la posible pérdida. La probabilidad puede asociarse a una tendencia o frecuencia conocida. Conocido P para un L dado, se obtiene la probabilidad de pérdida relativa de la ocurrencia PL que se comparará con B, el peso que supone implantar la medida de prevención respectiva. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

14 El factor B en la ecuación de riesgo (1)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución El factor B en la ecuación de riesgo (1) Factor B Indica qué se requiere para prevenir una pérdida. Ejemplo: el peso o carga de prevención para que un vehículo vaya sin gasolina es el costo de echarle gasolina. El peso incluye los valores de tiempo y costo: ir a la gasolinera, esperar a que esté libre un surtidor, poner gasolina y pagar. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

15 El factor B en la ecuación de riesgo (2)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución El factor B en la ecuación de riesgo (2) Factor B ¿Cuánta protección es necesaria? ¿Cuánta gasolina debemos echar en el depósito? Depende de hasta dónde queramos desplazarnos con el coche. ¿De qué forma nos protegeremos? Una casa puede protegerse con puertas, cerraduras, barras en ventanas, sistemas de alarmas, etc. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

16 Pasos en un análisis de riesgos
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Pasos en un análisis de riesgos 1. Identificación de posibles pérdidas (L) Identificar amenazas 3. Identificar posibles acciones y sus implicaciones. (B) Seleccionar acciones a implementar. NOTAS SOBRE EL TEMA: 2. Determinar susceptibilidad. Posibilidad de pérdida (P) Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

17 Ejemplo de análisis de riesgo
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Ejemplo de análisis de riesgo Con valores ficticios, se trata de encontrar a cuánto puede ascender nuestro presupuesto en materia de seguridad (B) si conocemos el impacto económico (L) que eso supone y hemos especificado un factor de probabilidad (P) de que esta catástrofe ocurra. Si B  P  L instalamos las medidas. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

18 Políticas de seguridad
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Políticas de seguridad Políticas administrativas Procedimientos administrativos. Políticas de control de acceso Privilegios de acceso del usuario o programa. Políticas de flujo de información Normas bajo la cuales se comunican los sujetos dentro del sistema. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

19 Políticas administrativas
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Políticas administrativas Políticas administrativas Se establecen aquellos procedimientos de carácter administrativo en la organización como por ejemplo en el desarrollo de programas: modularidad en aplicaciones, revisión sistemática, etc. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

20 Control de accesos Políticas de control de acceso
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Control de accesos Políticas de control de acceso Política de menor privilegio Acceso estricto a objetos determinados Política de compartición Acceso de máximo privilegio Granularidad Número de objetos accesibles (gruesa y fina) NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

21 Control de flujo Políticas de control de flujo
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Control de flujo Políticas de control de flujo La información a la que se accede se envía por ¿Canales lícitos o canales ocultos? ¿Qué es lo que hay que potenciar? ¿La confidencialidad? ¿La integridad? ¿La disponibilidad? Según organización  diferencias NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

22 Modelos de seguridad (1)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Modelos de seguridad (1) Modelo de Bell and LaPadula (BLP) Rígido. Confidencialidad y autoridad. Modelo de Taque-Grant (TG) Derechos especiales: tomar y otorgar. Modelo de Clark-Wilson (CW) Orientación comercial: integridad. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

23 Modelos de seguridad (2)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Modelos de seguridad (2) Modelo de Goguen-Meseguer (GM) No interferencia entre usuarios. Modelo de Matriz de Accesos Estados y transiciones entre estados Graham-Dennig (GD) Harrison-Ruzzo-Ullman (HRU) NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

24 Criterios de seguridad
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Criterios de seguridad Criterio de evaluación TSEC Trusted Computer System Evaluation Criteria, también conocido como Orange Book Criterio de evaluación ITSEC Information Technology Security Evaluation Criteria Criterio de evaluación CC Common Criteria (los dos anteriores) NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

25 Modelo de Bell LaPadula BLP
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Modelo de Bell LaPadula BLP Escritura hacia abajo prohibida Lectura hacia arriba prohibida Principio de tranquilidad No lectura hacia arriba Secreto máximo (usuario dado de alta con nivel secreto) Secreto No escritura hacia abajo No clasificado NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

26 Modelo Take Grant (TG) Se describe mediante grafos orientados:
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Modelo Take Grant (TG) Se describe mediante grafos orientados: el vértice es un objeto o sujeto. un arco es un derecho. Se ocupa sólo de aquellos derechos que pueden ser transferidos. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

27 Modelo Clark Wilson (CW)
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Modelo Clark Wilson (CW) Basado en políticas de integridad Elementos de datos restringidos sobre éstos debe hacerse un chequeo de consistencia Elementos de datos no restringidos Procedimientos de transformación trata los dos elementos Procedimientos de verificación de integridad NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

28 Planes de contingencia
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Planes de contingencia ¿Qué es un Plan de Contingencia? ¿Por qué es necesario implementarlo? ¿Qué gana la empresa con este plan? Y si no lo tiene ¿a qué se expone? Lo veremos a continuación NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

29 Definición de plan de contingencia
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Definición de plan de contingencia Un Plan de Contingencia consiste en un análisis pormenorizado de las áreas que componen nuestra organización que nos servirá para establecer una política de recuperación ante un desastre. Es un conjunto de datos de la empresa que se plasma en un documento con ese fin. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

30 Desastres naturales y su prevención
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Desastres naturales y su prevención Desastres naturales Huracán Tormenta Inundación Tornado Vendaval, etc Destruyen nuestro sistema Medidas prevención Emplazamientos adecuados Protección fachadas, ventanas, puertas NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

31 Vandalismo informático y su prevención
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Vandalismo informático y su prevención Terrorismo Sabotaje Robo Virus Programas malignos Medidas de prevención Fortificación entradas Guardia Jurado Patrullas Circuito cerrado TV Control de accesos Protección de software y hardware con un antivirus. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

32 Amenazas del agua y su prevención
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Amenazas del agua y su prevención Inundaciones por causas propias de la empresa Inundaciones por causas ajenas Pequeños incidentes personales (botella de agua, taza con café) Medidas prevención Revisar conductos de agua Localizar la sala con los equipos más caros en un sitio libre de estos problemas Instalar sistemas de drenaje emergencias NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

33 Amenazas del fuego y su prevención
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Amenazas del fuego y su prevención Medidas prevención Detector humo y calor Materiales ignífugos Almacén de papel separado de máquinas Estado del falso suelo Extintores revisados Es la amenaza más temida por su rápido poder destructor. Debido a una mala instalación eléctrica Debido a descuidos (fumar en la sala de ordenadores) Papeleras mal ubicadas (se tira un cigarrillo no apagado) Problemas del humo NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

34 ¿Y si se produce una catástrofe?
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución ¿Y si se produce una catástrofe? Las empresas dependen hoy en día de los equipos informáticos y de los datos que hay allí almacenados. Dependen también cada vez más de las comunicaciones a través de redes de datos. Si falla el sistema informático y no puede recuperarse, la empresa puede desaparecer. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

35 Importancia de contar con un plan
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Importancia de contar con un plan Además de seguridad, la empresa gana en conocimiento real de sus fortalezas y debilidades. Si no lo hace se expone a sufrir una pérdida irreparable mucho más costosa que la implantación de este plan. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

36 Pérdidas por no contar con un plan
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Pérdidas por no contar con un plan Pérdida de clientes Pérdida de imagen Pérdida de ingresos por beneficios Pérdida de ingresos por ventas y cobros Pérdida de ingresos por producción Pérdida de competitividad Pérdida de credibilidad en el sector NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

37 Tiempo de recuperación ante desastres
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Tiempo de recuperación ante desastres Período máximo de paro de una empresa sin poner en peligro su supervivencia: Sector Seguros: 5,6 días Sector Fabricación: 4,9 días Sector Industrial: 4,8 días Sector Distribución: 3,3 días Sector Financiero: 2,0 días Ref. Estudio de la Universidad de Minnesota NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

38 Implantación de medidas
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Implantación de medidas Plan de emergencia Vidas, heridos, activos, evacuación personal Inventariar recursos siniestrados Evaluar el coste de la inactividad Plan de recuperación Acciones tendentes a volver a la situación que existía antes del desastre. NOTAS SOBRE EL TEMA: Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.

39 Plan de continuidad Instalaciones alternativas
Curso de Seguridad Informática en Diapositivas Material Docente de Libre Distribución Plan de continuidad Instalaciones alternativas Oficina de servicios propia Acuerdo con empresa vendedora hardware Acuerdo recíproco entre dos o más empresas Arranque en frío; sala vacía propia Arranque en caliente: centro equipado Sistema Up Start: caravana, unidad móvil Sistema Hot Start: centro gemelo NOTAS SOBRE EL TEMA: Fin del Tema 3 Curso de Seguridad Informática. Tema 3: Seguridad Física. © Jorge Ramió Aguirre Tema 3: Seguridad Física.