ACI – 425 SEGURIDAD INFORMÁTICA

Presentación del tema: "ACI – 425 SEGURIDAD INFORMÁTICA"— Transcripción de la presentación:

1 ACI – 425 SEGURIDAD INFORMÁTICA
Unidad 1: Principios de Seguridad Informática

2 Objetivos Específicos de la Unidad
Conocer los conceptos y principios de la seguridad informática, normativas actuales y diseño básico de las políticas de seguridad en base al estado del arte actual.

3 Contenidos y Actividades
Características de la información. Seguridad informática como proceso, vulnerabilidades y amenazas. Análisis de riesgos. Ataques, Hackers y crackers. Ciclo de vida de la seguridad informática Políticas de seguridad. Planes de concientización y normas internacionales. Normas ISO y BS Legislación actual internacional y nacional Delitos informáticos

4 Sistemas de Almacenamiento y Comunicación de Imágenes (PACS)
Tipos de estaciones de trabajo: Estación de Adquisición Estación de Consulta Servidor SERVIDOR REMOTO ESTACIÓN DE ADQUISICIÓN ULTRASONIDO / RAYOS X SCANNER TOMOGRAFÍA AXIAL RESONANCIA MAGNÉTICA MEDICINA NUCLEAR, ETC. IMAGEN MODEM MODEM ESTACIÓN DE CONSULTA REMOTA ARCHIVO HISTÓRICO SERVIDOR ESTACIÓN DE CONSULTA LOCAL

5 ¿Qué es la información? Desde el punto de vista de la ingeniería:
Estudio de las características y estadísticas del lenguaje que nos permitirá su análisis desde un enfoque matemático, científico y técnico: Teoría de la Información de Shannon. Desde el punto de vista de la empresa: Conjunto de datos propios que se gestionan y mensajes que se intercambian personas y/o máquinas dentro de una organización.

6 La información en la empresa
Se entenderá como: Todo el conjunto de datos y ficheros de la empresa. Todos los mensajes intercambiados. Todo el historial de clientes y proveedores. Todo el historial de productos. En definitiva: el know-how de la organización. Si esta información se pierde o deteriora, le será muy difícil a la empresa recuperarse y seguir siendo competitiva. Por este motivo, es vital que se implanten unas políticas de seguridad y que, además, se haga un seguimiento de ellas.

7 Las amenazas … … pueden ser causadas por:
un operador: causa del mayor problema ligado a la seguridad de un sistema informático (por que no le importa, no se da cuenta o a propósito). programas maliciosos: programas destinados a perjudicar o a hacer un uso ilícito de los recursos del sistema es instalado (por inatención o maldad) en el ordenador abriendo una puerta a intrusos o bien modificando los datos. Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker, defacer, script kiddie o Script boy, viruxer, etc.) un siniestro (robo, incendio, inundación, terremoto): una mala manipulación o una mala intención derivan a la pérdida del material o de los archivos. el personal interno de Sistemas: Las pujas de poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática.

8 Importancia de la información
El éxito de una empresa dependerá de la calidad de la información que genera y gestiona. Así, una empresa tendrá una información de calidad si ésta posee, entre otras características, las de confidencialidad, de integridad y de disponibilidad. La implantación de una política y medidas de seguridad informática en la empresa comienza a tenerse en cuenta sólo a finales de la década pasada. En este nuevo siglo, es un factor estratégico en el desarrollo y éxito de la misma. Después de atentados terroristas, incendios, huracanes y diversas amenazas, muchas empresas han desaparecido por no haber sido capaces de recuperarse tras haber perdido toda su información.

9 Vulnerabilidad de la información
La información (datos) se verá afectada por muchos factores, incidiendo básicamente en los aspectos de confidencialidad, integridad y disponibilidad de la misma. Desde el punto de vista de la empresa, uno de los problemas más importantes puede ser el que está relacionado con el delito o crimen informático, bien por factores externos o internos. Habrá que estar muy atentos al factor humano interno.

10 ¿Tenemos conciencia de las debilidades?
Habrá debilidades tanto internas como externas... La seguridad informática se convierte en un nuevo motivo de preocupación. A finales del siglo XX e inicios del actual siglo XXI, tanto las empresas, organismos e incluso particulares comienzan a tomar verdadera conciencia de su importancia. Hoy en día, tener un sistema que cumpla con los estándares de gestión de la seguridad es sinónimo de calidad de servicio.

11 Acontecimientos en las dos últimas décadas
A partir de los años 80 el uso del ordenador personal comienza a ser común. Asoma por tanto la preocupación por la integridad de los datos. En la década de los años 90 proliferan los virus y gusanos y se toma conciencia del peligro que nos acecha como usuarios de PCs y equipos conectados a Internet. Además, comienzan a proliferar ataques a sistemas informáticos. La palabra hacker aparece incluso en prensa. Las amenazas se generalizan a finales de los 90; aparecen nuevos gusanos y malware generalizado.

12 ¿Es atractivo el delito informático?
Suponiendo que todos entendemos más o menos qué es un delito informático, algo no muy banal dado que muchos países no se ponen de acuerdo, parece ser que es un buen negocio: Objeto pequeño: la información que se ataca está almacenada en contenedores pequeños: no es necesario un camión para robar un banco, llevarse las joyas, el dinero, etc. Contacto físico: no existe contacto físico en la mayoría de los casos. Se asegura el anonimato y la integridad física del propio delincuente. Alto valor: el objeto codiciado tiene un alto valor. Los datos (el contenido a robar) puede valer mucho más que el soporte que los almacena: servidor, computador, disco, CD, etc. Aunque no será la única, una de las herramientas de protección de datos más efectiva es el uso de técnicas criptográficas.

13 La solución: ¿Estar desconectado?
No podemos aceptar esa afirmación simplista que dice que el computador más seguro es aquel que está desconectado y, por tanto, libre de todos los peligros que hay en la red. A pesar de todas las amenazas del entorno, que serán muchas y muy distinto tipo ... tendremos que aplicar políticas, metodologías técnicas de protección de la información porque la conectividad es vital.

14 Hay que implantar políticas de seguridad
El tratamiento y vulnerabilidad de la información se verá influida por otros temas, como por ejemplo los aspectos legales vigentes. Además, las empresas cada día dependen más de sus comunicaciones y de su trabajo en red, lo que aumenta su inseguridad. La solución parece muy sencilla: crear y aplicar políticas de seguridad...

15 Acciones contra los datos
Una persona no autorizada podría: Clasificar y desclasificar los datos. Filtrar información. Alterar la información. Borrar la información. Usurpar datos. Hojear información clasificada. Deducir datos confidenciales.

16 Copias de seguridad: backup
La medida más elemental para la protección de los datos es determinar una buena política de copias de seguridad o backups: Copia de seguridad completa Todos los datos (la primera vez). Copias de seguridad incrementales Sólo se copian los ficheros creados o modificados desde el último backup. Elaboración de un plan de backup en función del volumen de información generada Tipo de copias, ciclo de esta operación, etiquetado correcto. Diarias, semanales, mensuales: creación de tablas. Establecer quién, cómo y dónde se guardan esos datos.

17 ¿Qué hay de nuevo en los 00s?
Principalmente por el uso masivo de Internet, el tema de la protección de la información se ha transformado en una necesidad y con ello se populariza la terminología técnica asociada a la criptología: Cifrado, descifrado, criptoanálisis, firma digital, ... Autoridades de Certificación, comercio electrónico, ... Ya no sólo se comentan estos temas en las universidades. Cualquier usuario desea saber, por ejemplo, qué significa firmar un o qué significa que en una comunicación con su banco aparezca un candado en la barra de tareas de su navegador y le diga que el enlace es SSL con 128 bits. El software actual viene con seguridad añadida o embebida.

18 ¿Cómo definir la seguridad informática?
En forma imprecisa podemos de decir que “Seguridad son las normas que impone una empresa para resguardar su Data, su Software y su Hardware”. Dr. Sergio Hernán López “La Seguridad Informática, generalmente consiste en asegurar que los recursos del sistema de información: material informático o programas, de una organización sean utilizados de la manera que se decidió”.

19 ¿Cómo definir la seguridad informática? (Continuación)
Si nos atenemos a la definición de la Real Academia de la Lengua Española, seguridad es la “cualidad de seguro”: “libre y exento de todo peligro, daño o riesgo”. A partir de estas definiciones no podríamos aceptar que seguridad informática es “la cualidad de un sistema informático exento de peligro”, por lo que habrá que buscar una definición más apropiada. Algo básico: la seguridad no es un producto, sino un proceso. Por lo tanto, podríamos aceptar que una primera definición más o menos aceptable de seguridad informática sería: “Un conjunto de métodos y herramientas destinados a proteger la información y por ende los sistemas informáticos ante cualquier amenaza, un proceso en el cual participan además personas. Concientizarlas de su importancia en el proceso será algo crítico”. Recuerde: la seguridad informática no es un bien medible, en cambio sí podríamos desarrollar diversas herramientas para cuantificar de alguna forma nuestra inseguridad informática.

20 Definición Podemos entender como seguridad una característica de cualquier sistema (informático o no) que nos indica que ese sistema está libre de peligro, daño o riesgo. Se entiende como peligro o daño todo aquello que pueda afectar su funcionamiento directo o los resultados que se obtienen del mismo. Para la mayoría de los expertos el concepto de seguridad en la informática es utópico porque no existe un sistema 100% seguro. Para que un sistema se pueda definir como seguro debemos de dotar al mismo con al menos tres características: Integridad Confidencialidad Disponibilidad Dependiendo de las fuentes de amenazas, la seguridad puede dividirse en seguridad lógica y seguridad física.

21 Seguridad Física y Seguridad Lógica
El estudio de la seguridad informática puede plantearse desde dos enfoques distintos aunque complementarios: La Seguridad Física: puede asociarse a la protección del sistema ante las amenazas físicas, incendios, inundaciones, edificios, cables, control de accesos de personas, etc. La Seguridad Lógica: protección de la información en su propio medio, mediante el enmascaramiento de la misma usando técnicas de criptografía. La gestión de la seguridad está en medio de la dos: los planes de contingencia, políticas de seguridad, normativas, etc. Este tema será tratado en próximas clases. Esta clasificación en la práctica no es tan rigurosa, ya que cada vez está menos claro dónde comienza una y dónde termina la otra.

22 Seguridad

23 La seguridad física en entornos de PCs
Anclajes a mesas de trabajo. Cerraduras en puertas. Tarjetas con alarma. Etiquetas con adhesivos especiales. Bloqueo de unidades externas. Protectores de teclado. Tarjeta de control de acceso al hardware. Sistema de suministro continuo de corriente. Toma de tierra. Eliminación de la estática... etc.

24 Términos relacionados con la seguridad informática
Activo: recurso del sistema de información o relacionado con éste, necesario para que la organización funcione correctamente y alcance los objetivos propuestos. Amenaza: evento que puede desencadenar un incidente en la organización, produciendo daños materiales o pérdidas inmateriales en sus activos. Impacto: consecuencia de la materialización de una amenaza. Riesgo: posibilidad de que se produzca un Impacto determinado en un Activo, en un Dominio o en toda la Organización. Vulnerabilidad: posibilidad de ocurrencia de la materialización de una amenaza sobre un Activo. Ataque: evento, exitoso ó no, que atenta sobre el buen funcionamiento del sistema. La Vulnerabilidad está ligada a una Amenaza y el Riesgo a un Impacto

25 Introducción al análisis y gestión de riesgos
El objetivo a proteger es la misión de la Organización, teniendo en cuenta las diferentes dimensiones de la seguridad: Disponibilidad: o disposición de los servicios a ser usados cuando sea necesario. La carencia de disponibilidad supone una interrupción del servicio. La disponibilidad afecta directamente a la productividad de las organizaciones. Integridad: o mantenimiento de las características de completitud y corrección de los datos. Contra la integridad, la información puede aparecer manipulada, corrupta o incompleta. La integridad afecta directamente al correcto desempeño de las funciones de una Organización. Confidencialidad: o que la información llegue solamente a las personas autorizadas. Contra la confidencialidad o secreto pueden darse fugas y filtraciones de información, así como accesos no autorizados. La confidencialidad es una propiedad de difícil recuperación, pudiendo minar la confianza de los demás en la organización que no es diligente en el mantenimiento del secreto, y pudiendo suponer el incumplimiento de leyes y compromisos contractuales relativos a la custodia de los datos. Autenticidad (de quién hace uso de los datos o servicios): o que no haya duda de quién se hace responsable de una información o prestación de un servicio, tanto a fin de confiar en él como de poder perseguir posteriormente los incumplimientos o errores. Contra la autenticidad se dan suplantaciones y engaños que buscan realizar un fraude. La autenticidad es la base para poder luchar contra el repudio y, como tal, fundamenta el comercio electrónico o la administración electrónica, permitiendo confiar sin papeles ni presencia física.

26 Riesgo: Análisis y Gestión
Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la Organización. El riesgo indica lo que le podría pasar a los activos si no se protegieran adecuadamente. Es importante saber qué características son de interés en cada activo, así como saber en qué medida estas características están en peligro, es decir, analizar el sistema: Análisis de riesgos: proceso sistemático para estimar la magnitud de los riesgos a que está expuesta una Organización. Sabiendo lo que podría pasar, hay que tomar decisiones: Gestión de riesgos: selección e implantación de salvaguardas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados. Nótese que una opción legítima es aceptar el riesgo. Es frecuente oír que la seguridad absoluta no existe; en efecto, siempre hay que aceptar un riesgo que, eso sí, debe ser conocido y sometido al umbral de calidad que se requiere del servicio. Como todo esto es muy delicado, no es meramente técnico, e incluye la decisión de aceptar un cierto nivel de riesgo, deviene imprescindible saber en qué condiciones se trabaja y así poder ajustar la confianza que merece el sistema. Para ello qué mejor que una aproximación metódica que permita tomar decisiones con fundamento y explicar racionalmente las decisiones tomadas.

27 Puesta en marcha de una política de seguridad
Generalmente se ocupa exclusivamente en asegurar los derechos de acceso a los datos y recursos con las herramientas de control y mecanismos de identificación. Estos mecanismos permiten saber que los operadores tienen sólo los permisos que se les dio. La seguridad informática debe ser estudiada para que no impida el trabajo de los operadores en lo que les es necesario y que puedan utilizar el sistema informático con toda confianza. Por eso en lo referente a elaborar una política de seguridad, conviene: elaborar reglas y procedimientos para cada servicio de la organización; definir las acciones a emprender y elegir las personas a contactar en caso de detectar una posible intrusión; y sensibilizar a los operadores con los problemas ligados con la seguridad de los sistemas informáticos.

28 Técnicas de aseguramiento del sistema
Codificar la información: Criptología, Criptografía y Criptociencia. Contraseñas difíciles de averiguar. Vigilancia de red. Tecnologías repelentes o protectoras: cortafuegos, sistema de detección de intrusos – anti-spyware, antivirus, llaves para protección de software, etc. Mantener los sistemas de información con las actualizaciones que más impacten en la seguridad.

29 Consideraciones de software
Tener instalado en la máquina únicamente el software necesario reduce riesgos. Así mismo tener controlado el software asegura la calidad de la procedencia del mismo (el software pirata o sin garantías aumenta los riesgos). En todo caso un inventario de software proporciona un método correcto de asegurar la reinstalación en caso de desastre. El software con métodos de instalación rápidos facilita también la reinstalación en caso de contingencia. Existe software que es famoso por la cantidad de agujeros de seguridad que introduce. Se pueden buscar alternativas que proporcionen iguales funcionalidades pero permitiendo una seguridad extra.

30 Consideraciones de una red
Los puntos de entrada en la red son generalmente el correo, las páginas Web y la entrada de ficheros desde discos, o de ordenadores ajenos, como portátiles. Mantener al máximo el número de recursos de red en sólo en modo lectura impide que ordenadores infectados propaguen virus. En el mismo sentido se pueden reducir los permisos de los usuarios al mínimo. Se pueden centralizar los datos de forma que detectores de virus en modo batch puedan trabajar durante el tiempo inactivo de las máquinas. Controlar y monitorizar el acceso a Internet puede detectar, en fases de recuperación, como se ha introducido el virus.

31 Tópicos erróneos acerca de la seguridad
Mi sistema no es importante para un hacker. Este tópico se basa en la idea de que no introducir passwords seguras en una empresa no entraña riesgos pues ¿quién va a querer obtener información mía? Sin embargo, dado que los métodos de contagio se realizan por medio de programas automáticos, desde unas máquinas a otras, estos no distinguen buenos de malos, interesantes de no interesantes, etc. Por tanto abrir sistemas y dejarlos sin claves es facilitar la vida a los virus. Estoy protegido pues no abro archivos que no conozco. Esto es falso, pues existen múltiples formas de contagio, además los programas realizan acciones sin la supervisión del usuario poniendo en riesgo los sistemas. Como tengo antivirus estoy protegido. En general los programas antivirus no son capaces de detectar todas las posibles formas de contagio existentes, ni las nuevas que pudieran aparecer conforme los ordenadores aumenten las capacidades de comunicación. Como dispongo de un firewall no me contagio. Esto únicamente proporciona una limitada capacidad de respuesta. Las formas de infectarse en una red son múltiples. Unas provienen directamente de accesos al sistema (de lo que protege un firewall) y otras de conexiones que se realizan (de las que no me protege). Emplear usuarios con altos privilegios para realizar conexiones puede entrañar riesgos.

32 Requerimientos de seguridad
Privacidad Integridad Disponibilidad Autenticación

33 Seguridad como un proceso
Algunos elementos integrantes son: Software antivirus Controles de acceso Muros de fuego Tarjetas inteligentes Biometría Detección de intrusos Administración de políticas Exploración de vulnerabilidades Encriptación Mecanismos de seguridad física

34 Principios de la seguridad informática
Veremos a continuación los tres principios básicos de la seguridad informática: acceso más fácil, caducidad del secreto y eficiencia de las medidas tomadas.

35 1er principio de la seguridad informática
PREGUNTA:¿Cuáles son los puntos débiles de un sistema informático? P1: El intruso al sistema utilizará el artilugio que haga más fácil su acceso y posterior ataque. Existirá una diversidad de frentes desde los que puede producirse un ataque, tanto internos como externos. Esto dificultará el análisis de riesgo ya que el delincuente aplicará la filosofía del ataque hacia el punto más débil: el equipo o las personas.

36 2do principio de la seguridad informática
PREGUNTA:¿Cuánto tiempo deberá protegerse un dato? P2: Los datos confidenciales deben protegerse sólo hasta que ese secreto pierda su valor como tal. Se habla, por tanto, de la caducidad del sistema de protección: tiempo en el que debe mantenerse la confidencialidad o secreto del dato. Esto nos llevará a la fortaleza del sistema de cifra.

37 3er principio de la seguridad informática
P3: Las medidas de control se implementan para que tengan un comportamiento efectivo, eficiente, sean fáciles de usar y apropiadas al medio. Efectivo: que funcionen en el momento oportuno. Eficiente: que optimicen los recursos del sistema. Apropiadas: que pasen desapercibidas para el usuario.

38 Lo más importante Ningún sistema de control resulta efectivo hasta que debemos utilizarlo al surgir la necesidad de aplicarlo. Junto con la concienciación de los usuarios, éste será uno de los grandes problemas de la Gestión de la Seguridad Informática.

39 ¿Qué es Criptografía? La criptografía es aquella rama inicial de las Matemáticas y en la actualidad también de la Informática y la Telemática, que hace uso de métodos y técnicas con el objeto principal de cifrar, y por tanto proteger, un mensaje o archivo por medio de un algoritmo, usando una o más claves. Un término más genérico es criptología: el compendio de las técnicas de cifra, conocido como criptografía, y aquellas técnicas de ataque conocidas como criptoanálisis.

40 Definiciones previas …
Criptología: ciencia que estudia e investiga todo aquello relacionado con la criptografía: incluye cifra y criptoanálisis. Criptógrafo: máquina o artilugio para cifrar. Criptólogo: persona que trabaja de forma legítima para proteger la información creando algoritmos criptográficos. Criptoanalista: persona cuya función es romper algoritmos de cifra en busca de debilidades, la clave o del texto en claro. Texto en claro: documento original. Criptograma: documento/texto cifrado. Claves: datos (llaves) privados/públicos que permiten cifrar un documento y descifrar el correspondiente criptograma.

41 Enlaces de interés CIBSI 05 - Congreso Iberoamericano de Seguridad Informatica