LINEAMIENTOS ESPECÍFICOS DE SEGURIDAD DE LA INFORMACIÓN PARA 1.

Presentación del tema: "LINEAMIENTOS ESPECÍFICOS DE SEGURIDAD DE LA INFORMACIÓN PARA 1."— Transcripción de la presentación:

1 LINEAMIENTOS ESPECÍFICOS DE SEGURIDAD DE LA INFORMACIÓN PARA 1

2 OBJETIVO Y ALCANCE OBJETIVO  Normar la utilización de los Servicios y gestión de accesos a la Red de Datos del Ministerio de Hacienda, definiendo las mejores prácticas que deben ser aplicadas por las diferentes Unidades de Informática y personal de la institución para el aprovechamiento y correcta utilización de los recursos provistos a través de este servicio. ALCANCE  El cumplimiento de los presentes Lineamientos es obligatorio para los funcionarios y empleados de las dependencias que conforman la institución representadas en el organigrama vigente del Ministerio de Hacienda, que demandan y utilizan este servicio. 2

3 LINEAMIENTOS DEL MAS  Los presentes lineamientos específicos, se emiten cumpliendo con lo establecido en los lineamientos 9.5.10, 9.6.7, 9.6.9 y 9.6.11 MAS: 9.5.10 Mensajería Electrónica  La DINAFI definirá y establecerá los controles y procedimientos de gestión de la red de datos y sus accesos, con el fin de protegerlas contra amenazas y mantener el funcionamiento y operación de los sistemas que las utilizan, incluyendo la información en transito. MAS: 9.6.7 Uso de los Servicios de Red  Cada dependencia atenderá los lineamientos establecidos por la DINAFI para el uso de los servicios de red de la Institución; los cuales estarán acorde a sus funciones y serán ejecutados a través de los administradores de la red y avalado por el propietario de la información o las aplicaciones. 3

4 LINEAMIENTOS DEL MAS MAS: 9.6.9 Acceso a Puertos de Diagnóstico  El acceso a los puertos de diagnóstico o servicios para la asistencia por conexión remota, se controlarán de conformidad a los lineamientos definidos por la DINAFI. MAS: 9.6.11 Control de Conexiones a la Red  Los administradores de las redes internas de la Institución establecerán en conjunto los procedimientos y herramientas basados en buenas prácticas, para controlar y clasificar las conexiones a la red y limitar los servicios necesarios según los requerimientos de los usuarios, siempre que hayan pasado por el procedimiento de autorización respectivo. Se deberá tomar en cuenta el estado de seguridad de los equipos que sean conectados y contar con los mecanismos adecuados para limitar su conexión en caso de incumplir con los lineamientos respectivos. 4

5 5

6  5.1.1 La administración de los diferentes equipos y accesos a la red de datos y comunicaciones del Ministerio de Hacienda es responsabilidad de la DINAFI, labor que se realizara mediante el área de Redes y Telecomunicaciones; pudiendo apoyarse en las Unidades de Informática de las otras dependencias para realizar la gestión de operaciones, configuraciones, administración y mantenimiento de la red de su dependencia. En cuanto a la administración de los equipos y accesos a la red de datos y comunicaciones de la Dirección General de Aduanas (DGA) es responsabilidad del Departamento de Soporte Tecnológico y Telecomunicaciones de esa Dirección.  El Ministerio de Hacienda se reserva el derecho a bloquear, ocultar, negar o descontinuar el servicio en cualquier momento y sin previo aviso ante un incidente o vulnerabilidad detectada que atente contra la seguridad de la red. Para aquellos accesos de usuarios externos que les hayan sido otorgados mediante resolución jurídica de la Dirección General de Aduanas, serán las áreas correspondientes de esta Dirección las responsables de llevar a cabo las acciones pertinentes para darle cumplimiento a este lineamiento. ATRIBUCIONES Y RESPONSABILIDADES 6

7  5.2.1 Los Directores, Presidente y Jefes de Unidades Asesoras al Despacho o la persona que ellos hayan delegado formalmente, serán responsables de autorizar a los encargados de solicitar los diferentes servicios de acceso a la red de datos y comunicaciones del Ministerio de Hacienda, mediante nota escrita a la Dirección Nacional de Administración Financiera (DINAFI) y para el caso de la Dirección General de Aduanas, la autorización también deberá notificarse al Departamento de Soporte Tecnológico y Telecomunicaciones de esa Dirección.  5.2.2 Los Firewalls bloquearán todo tipo de tráfico (conexiones) por defecto y admitirán aquél que sea expresamente permitido por la institución mediante solicitud enviada al Área de Redes y Telecomunicaciones DINAFI y para el caso de la Dirección General de Aduanas, al Departamento de Soporte Tecnológico y Telecomunicaciones, a través de requerimiento en mesa de ayuda registrado por encargados de solicitar los diferentes servicios de acceso a la red de datos y comunicaciones del Ministerio de Hacienda. AUTORIZACIONES 7

8  5.2.3 Las conexiones hacia los computadores del Ministerio de Hacienda a través de Internet, deben ser autorizadas por el Área de Redes y Telecomunicaciones de la DINAFI o por el Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según el caso. Los usuarios internos o externos que con fines laborales requieran una conexión de este tipo serán autorizados por el Director, Presidente o Jefe de Unidades Asesoras al Despacho correspondiente.  5.2.4 Las unidades o áreas que necesiten establecer conexiones con redes de terceros, deben contar con la validación del área de Redes y Telecomunicaciones o del Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según el caso, quienes serán responsables de determinar los requerimientos de seguridad para la configuración de los equipos de comunicación. AUTORIZACIONES 8

9 ADMINISTRACION DE LA RED DE DATOS  5.3.1 Todos los equipos de comunicación de la red del Ministerio de Hacienda, incluyendo entre otros, switches, enrutadores, firewalls y servidores de control de acceso, deben tener contraseñas únicas u otros mecanismos de control de acceso usando el protocolo RADIUS.  5.3.2 Los usuarios de la red de la Institución, deberán reportar por cualquier mecanismo al área de Redes y Telecomunicaciones de la DINAFI o al Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según el caso, fallas en el funcionamiento de la red, a efectos de garantizar la operación de la misma.  5.3.3 El personal del Ministerio de Hacienda que tenga la responsabilidad de la administración de los firewalls y el Área de Seguridad de la Información pueden suscribirse a algún foro del fabricante, que suministre información vigente acerca de las vulnerabilidades de estos equipos. 9

10  5.4.1 Los usuarios de la red del Ministerio de Hacienda, no deben utilizar los sistemas informáticos de la Institución para dedicarse a actividades de "hacking" incluyendo, sin limitantes, el acceder en forma no autorizada a cualesquiera de otros sistemas informáticos, para dañar, alterar o irrumpir las operaciones de estos y capturar o de algún modo obtener las contraseñas, las claves de cifrado u otro mecanismo de control y validación que permitan un acceso no autorizado.  5.4.2 Los empleados del Ministerio de Hacienda no deben establecer ninguna conexión externa que pudiera permitir a usuarios ajenos al Ministerio de Hacienda obtener acceso a los sistemas informáticos de la misma, a menos que exista autorización del Director, Presidente o Jefe de Unidad Asesora al Despacho correspondiente. SEGURIDAD EN REDES DE COMPUTACION Y EN LAS COMUNICACIONES EXTERNAS 10

11  5.4.3 Los empleados del Ministerio de Hacienda, no deben conectar modem a cualquier equipo conectado a la red de área local de la Institución; a menos que hayan sido autorizados por el Área de Redes y Telecomunicaciones o el Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según el caso.  5.4.4 Todas las conexiones vía modem con sistemas y redes del Ministerio de Hacienda autorizadas deben encaminarse a través un servidor de acceso remoto (RAS por sus siglas en inglés).  5.4.5 Los empleados no deben instalar o contratar la instalación de líneas de modem o conexiones ADSL que se conecten a computadores o redes del Ministerio de Hacienda, a menos que estas líneas hayan sido autorizadas por el Área de Redes y Telecomunicaciones o el Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según el caso. SEGURIDAD EN REDES DE COMPUTACION Y EN LAS COMUNICACIONES EXTERNAS 11

12  5.4.6 Las conexiones hacia los computadores del Ministerio de Hacienda a través de Internet deben autenticarse en un firewall que emplee un proceso extendido de autenticación de usuario.  5.4.7 El Ministerio de Hacienda, empleará una subred separada que no tenga conexión con la red Interna de la Institución para habilitar el acceso a personal externo o visitantes que requieran conectarse con sus propias redes.  5.4.8 Todas las redes internas de datos del Ministerio de Hacienda estarán divididas en zonas de seguridad. Estas serán definidas y estructuradas por el Área de Redes y Telecomunicaciones de la DINAFI o por el Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según el caso. SEGURIDAD EN REDES DE COMPUTACION Y EN LAS COMUNICACIONES EXTERNAS 12

13  5.4.9 Todos los servidores web accesibles desde Internet deben estar protegidos por un Enrutador y firewall.  5.4.10 Todo equipo de red (antenas inalámbricas, concentradores, enrutadores, u otros dispositivos de comunicaciones) del Ministerio de Hacienda ubicado en una oficina abierta, así como los equipos de computación ubicados en oficinas de atención al público, deben asegurarse físicamente con dispositivos antirrobo. Además pueden utilizarse controles adicionales de acceso físico. SEGURIDAD EN REDES DE COMPUTACION Y EN LAS COMUNICACIONES EXTERNAS 13

14  5.5.1 Los usuarios de la Red no deben emplear facilidades para compartir o distribuir videos y audio sobre la red, ya que puedan causar saturación y afectar el uso de la misma y al resto de usuarios.  5.5.2 No se permite sesiones simultáneas a equipos de comunicación de red, sistemas de VPN y dispositivos proxy para el acceso a Internet, a menos que se otorgue un permiso especial autorizado por el Área de Redes y Telecomunicaciones de la DINAFI o por el Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según sea el caso.  5.5.3 Los asistentes digitales personales, los computadores portátiles y los teléfonos inteligentes no se deben utilizar para información del negocio del Ministerio de Hacienda, a menos que hayan sido configurados con los controles necesarios y autorizados para dicho uso.  5.5.4 Los usuarios no deben establecer conexiones punto a punto entre computadoras del Ministerio de Hacienda y algún equipo de una red de terceros. USO DE LOS SERVICIOS DE RED 14

15  5.6.1 Todo usuario debe tener un identificador único y una contraseña personal secreta para acceder a las redes del Ministerio de Hacienda y los computadores personales y multiusuario. Por lo que deben contar con una cuenta activa en el Directorio Activo.  5.6.2 Todo equipo que necesite ser conectado a la red del Ministerio de Hacienda, debe cumplir con las políticas, los perfiles y características, establecidos para tal efecto.  5.6.3 Todo computador de la red del Ministerio de Hacienda que cuente con una conexión a redes de terceros, debe estar protegido mediante los mecanismos de seguridad establecidos en los controles de acceso descritos en el Manual de Seguridad de la Información y los Lineamientos Específicos de Seguridad de la Información que se deriven de ellos. CONTROL DE ACCESO 15

16  5.6.4 Todos los usuarios deben verificar su identidad a través de un identificador de usuario y una contraseña secreta o por otro medio que proporcione una seguridad igual o mayor, antes de permitirse su utilización de los computadores del Ministerio de Hacienda conectados a una red.  5.6.5 Los puntos de red activos de los equipos de acceso, que estén conectados a la red de del Ministerio de Hacienda no deben estar ubicados en áreas públicas que incluyan, entre otros, entradas de edificios y área de cafetería. Las excepciones a este lineamiento implican que éstos deben estar deshabilitados cuando no estén siendo utilizados. CONTROL DE ACCESO 16

17  5.6.6 Todos los puntos de red que se encuentren en oficinas desocupadas u oficinas utilizadas de manera ocasional, deben desconectarse rápidamente o después de su uso, en el gabinete de telecomunicaciones al cual pertenece. Siendo responsabilidad de las Unidades de Informática de cada dependencia informar al Área de Redes y Telecomunicaciones de la DINAFI o al Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA, según sea el caso para coordinar su desactivación. CONTROL DE ACCESO 17

18 MANEJO DE INFORMACION  5.7.1 La información sobre las medidas de seguridad para los sistemas de comunicación y los computadores del Ministerio de Hacienda es confidencial y no debe ser revelada a personas que no sean usuarios autorizados de los sistemas mencionados, a menos que se haya obtenido la autorización del Director, Presidente o Jefe de Unidad Asesora al Despacho correspondiente, de acuerdo a lo establecido en el Manual de Seguridad de la Información.  5.7.2 La información sobre el direccionamiento IP, configuraciones, equipos de red y el diseño de la red del Ministerio de Hacienda, debe restringirse a ser conocida solo por el personal involucrado en la administración de la red. 18

19  5.8.1 Los puertos de configuración de los equipos de comunicaciones deben ser accedidos únicamente por los administradores designados a tal función. Estos equipos deben contar con protección física que evite el acceso no autorizado. SOBRE EL ACCESO A LOS PUERTOS DE DIAGNOSTICO Y CONFIGURACION DE LOS EQUIPOS DE COMUNICACIONES 19

20  5.9.1 El Ministerio de Hacienda podrá realizar pruebas de penetración a la red con el fin de verificar el funcionamiento de los firewalls y otros dispositivos de red para determinar posibles vulnerabilidades en la seguridad de la misma; esta labor podrá ser realizada mediante personal interno (del Área de Seguridad de la Información o el Área de Redes y Telecomunicaciones de la DINAFI o el Departamento de Soporte Tecnológico y Telecomunicaciones de la DGA; y deberá contar previamente con la autorización del Encargado de la Unidad de Informática de la Dependencia) o empresas subcontratadas para tal fin.  5.9.2 Los administradores de los firewalls deben utilizar herramientas para el control de cambios realizados en los parámetros de configuración, asimismo se debe registrar los accesos administrativos exitosos o fallidos realizados a dichos equipos. SOBRE FIREWALLS 20

21  5.9.3 Todo tráfico (conexiones) proveniente de Internet o Extranet hacia las redes del Ministerio de Hacienda debe pasar a través de un Firewall de la institución.  5.9.4 El acceso a todos los firewalls de Ministerio de Hacienda debe realizarse mediante usuario y contraseña única por cada Administrador u otros mecanismos de control de acceso. En el caso que los usuarios residan localmente, la misma contraseña o el mismo código de control de acceso no debe ser utilizado en más de un firewall.  5.9.5 Cada vez que se cuente con el apoyo del proveedor de los equipos de red o seguridad, será necesario que los encargados de la administración de los firewalls del Ministerio de Hacienda, ingresen sus credenciales a efectos de proteger el acceso y validar los cambios o modificaciones que se realizarán y evitando así que esta información sea conocida por los proveedores. SOBRE FIREWALLS 21

22  5.9.6 La red interna del Ministerio de Hacienda debe estar organizada en subredes que implementen controles de seguridad acordes a la criticidad de los recursos que albergan y el acceso entre ellas podrá restringirse con firewalls y otras medidas de control de acceso.  5.9.7 Todos los equipos servidores accesibles desde Internet o extranet, deben estar protegidos por firewalls y ubicados dentro de una zona desmilitarizada (DMZ, por sus siglas en inglés) o red perimetral. SOBRE FIREWALLS 22

23  5.9.8 El software de los firewalls del Ministerio de Hacienda debe actualizarse cada vez que el fabricante libere nuevos parches o actualizaciones, siempre y cuando sea una versión madura y adecuada para la operación de la institución. Los administradores de estos equipos son responsables de esta actividad; estas actualizaciones deben ser aplicadas a más tardar una semana después de haber recibido la notificación del proveedor o el fabricante.  5.9.9 Todos los firewalls del Ministerio de Hacienda deben estar ubicados en el Centro de Procesamiento de Datos de las tres torres o en el de la Dirección General de Aduanas según sea el caso. SOBRE FIREWALLS 23