Universidad Nacional de Ingeniería. Recinto Augusto C. Sandino

Presentación del tema: "Universidad Nacional de Ingeniería. Recinto Augusto C. Sandino"— Transcripción de la presentación:

1 Universidad Nacional de Ingeniería. Recinto Augusto C. Sandino
Auditoria de Sistemas Evaluación de la Seguridad.

2 Delitos por Computadora
Que es un Ordenador? Los ordenadores son un instrumento que estructura gran cantidad de información, la cual puede ser confidencial, para individuos, empresas o instituciones que puede ser mal utilizada o divulgada.

3 Delitos por Computadora
*Los Procedimientos de auditoria y seguridad no solo corresponden a la persona que elabora el Sistema… Proteger la integridad, la exactitud y confidencialidad de la información. Proteger los activos ante desastres provocados por la mano del hombre y de actos hostiles. Proteger a la organización contra situaciones externas como desastres y sabotajes. En caso de desastres, contar con los planes y políticas de contingencias para lograr una pronta recuperación. Contar con los seguros necesarios que cubran las pérdidas económicas en caso de desastre.

4 Delitos por Computadora
Los Motivos Por los cuales se comete un delitos Son: Beneficio Personal. Beneficios para la organización. Síndrome de Robín Hood. Jugando a jugar El individuo posee problemas financieros. La computadora no tiene sentimientos. El departamento es deshonesto. Odio a la Organización. Equivocación de ego. Mentalidad turbada.

5 Virus Un Factor Mas… Caso USPA & IRA de Forth Worth

6 Virus 5 Factores que han permitido el Incremento de crímenes por computadora: El aumento del número de personas que se encuentran estudiando computación. El aumento del numero de colaboradores que tienen acceso a los equipos. La facilidad en el uso de equipos de computo. El incremento en la concentración del número de aplicaciones y, consecuentemente, de la información. El incremento de redes y de facilidades para utilizar las computadoras en cualquier lugar y tiempo.

7 AntiVirus

8 Recordemos Física Lógica Eficiente
No es necesario realizar fraude estando directamente en el centro de computo de la empresa. A medida que la tecnología avanza, avanza también la seguridad física y lógica, por lo que.. Física Lógica Eficiente

9 Seguridad Lógica y Confidencialidad
La seguridad Lógica se encarga de los controles de acceso que están diseñados para salvaguardar la información. Que es? Objetivo?

10 Seguridad Lógica y Confidencialidad
La falta de seguridad lógica o su violación trae las siguientes consecuencias: Cambio de los datos antes o cuando se le da entrada a la computadora. Copias de programas y/o información. Código oculto en un programa. Entrada de Virus.

11 Seguridad Lógica Tipos de Usuario: Propietario. Administrador.
Usuario Principal. Usuario de Consulta. Usuario de Exploración. Usuario de Auditoria.

12 Seguridad Lógica La seguridad Lógica abarca las siguientes áreas:
Rutas de Acceso. Claves de Acceso. Software de Control de Acceso. Encriptamiento.

13 Software manejador de B.D.
El acceso a la vista de datos deberá ser restringido en una vista de datos lógica. Se debe de controlar el acceso al diccionario de Datos. La bitácora de auditoria debe reportar los accesos al diccionario de Datos

14 Software de Librerías Mantiene una bitácora de auditoria de todas las actividades realizadas. Tiene la facilidad de comparar dos versiones de programas. Deberán de impedir el acceso a password a individuos no autorizados. Los cambios realizados al software de librerías tendrán que ser protegidos y controlados.

15 Software de Telecomunicaciones
Verificación de login de aplicaciones. Restricción al uso de aplicaciones de la red. Protección de datos sensibles durante la transmisión. Asegurar que los datos no sean modificados por un usurario no autorizado

16 Consideraciones para Auditar.
Control de acceso a programas y a la información. Control de cambios. Bitácoras de Auditorias.

17 Consideraciones para Auditar.
La auditoria puede enfocarse en áreas de seguridad que son aplicables a todo tipo de software y pueden cubrir la instalación, el mantenimiento y la utilización del software. Es necesario tomar en cuenta las características de seguridad del software, incluyendo el control de acceso, la identificación del usuario y el proceso de autentificación del usuario, ejecutado por el software. Software de control de Acceso Software de Base de Datos Software de Telecomunicaciones Software de Utilerías Software Manejador de Librerías Software de Sistema Operativo

18 Consideraciones para Auditar.
Instalación y Mantenimiento Procedimientos para nuevas pruebas o modificaciones al software. Procedimientos de iniciación, documentación, pruebas y aprobación de modificaciones del software Procedimientos de emergencia para dar solución a los problemas. Acceso a librerías del programa

19 Consideraciones para Auditar.
Operación Controles de acceso para los programas, librerías, etc… Horas durante el software esta disponible. Bitácoras de auditoria sobre las actividades del software. Dependencia de otro software para continuar la operación.

20 ¿Qué auditamos? Software Proceso Soft de control de Acceso. Sistemas
Operativos Soft de Telecomunicaciones. Soft de Utilerias

21 Software de Control de Acceso.
Usualmente provee utilerías que pueden ser usadas en la ejecución de una auditoria. Los eventos pueden ser registrados en un archivo de auditoria (cambios en el sistema, así como la ocurrencia de otras actividades) Diseño y Administración. P. de identificación de usuarios. P. de autentificación de usuario Recursos para controlar el acceso. Reportes y vigilancia del soft de C.

22 Sistemas Operativos. Controles de acceso sobre tablas que definen privilegios de usuarios, programas y funciones. Controles de acceso sobre consolas o terminales maestras. Bitácoras de Auditoria. Comandos de software o funciones que son consideradas importantes. Control de acceso sobre el ID de usuarios.

23 Software de Utilerías Funciones o comandos de Utilerías.
Controles de Acceso sobre los comandos. Sí el S. ejecuta las funciones de identificación de usuario. Capacidades de uso de utilerías para cada grupo de usuarios.

24 Software de Telecomunicaciones
Restricciones basadas en el acceso a la red. Apagado automático de las unidades inactivas Controles de acceso sobre los recursos de la red. Si se ejecuta la identificación del usuario. Seguridad física sobre líneas telefónicas y telec. Posibilidad y uso de encriptación de datos o mensajes.

25 Seguridad de autorización de accesos
Es importante asegurarse de que los controles de acceso sean estrictos durante todo el tiempo, y que estos incluyan a todo el personal de la organización, todo el personal ajeno a la instalación se debe de identificar antes de entrar a esta.

26 Acceso Puerta con cerradura Puerta de Combinación Puerta Electrónica
Para garantizar la seguridad en el centro de computo de una empresa se pueden utilizar los siguientes recursos: Puerta con cerradura Puerta de Combinación Puerta Electrónica Puertas Sensoriales Registros de Entrada Videocámaras

27 Detección de humo, incendio y Extintores
Los detectores de humo se deben colocar lejos de los aires acondicionados ya que estos dispositivos pueden difundir el calor y el humo y no permitir que se active el detector.

28 Detección de incendios.
Las alarmas contraincendios deben estar conectadas con la alarma principal del lugar también los controles de seguridad del lugar deben satisfacer los estándares mínimos del departamento de bomberos, los documentos importantes, las operaciones y la programación deben tener un respaldo.

29 Seguridad de Autorización de accesos
Con Respecto a los extintores se deben revisar el numero de estos su capacidad su fácil acceso, peso, capacidad y el tipo de materiales que utilizan "es muy común encontrar extintores que no estén cargados o bien que sean muy pesados o de difícil acceso”

30 Temperatura y Humedad Algunos equipos grandes, o bien las computadoras personales que son utilizados en zonas muy deserticas necesitan un sistema de aire acondicionado diseñado para estar en operación constante, con base en parámetros como: Disipación térmica(BTU) Movimiento de aire(CFM) Perdida por transferencia de calor

31 Seguridad en contra de virus
Los daños mas comunes son los siguientes: Suplantación de datos. Destrucción de la producción. Modificación en los códigos de producción. Saturación, reducción de disponibilidad o cambio de parámetros. Bloqueo de redes.

32 Entre los problemas en el uso de analizadores están:
Son efectivos solamente contra virus conocidos. Algunos nos muestran resultados positivos falsos. Se deben actualizar constantemente. Los usuario no se sientes totalmente seguros.

33 Protecciones contra virus y elementos a auditar.
Se debe verificar que todas las computadoras tengan desinfectadores de virus instalados y actualizados. Debe de existir políticas y procedimientos de actuación en contra de virus. Prohibir el uso de dispositivos de almacenamiento externos solamente que sean probados y desinfectados. Capacitar a los usuarios para actuar en las posibles situaciones que se presenten. Evaluar y auditar que todos los paquetes que se utilicen sean oiginales.

34 Internet Para que tengamos una alta seguridad y no ser vulnerable al momento de navegar por la red se puede hacer lo siguiente: No permitir que comerciantes en línea almacenen información de la empresa o de personas. Actualizar el sistema operativo y las aplicaciones que usamos para acceder a internet No abrir cualquier documento que nos envíen por correo. Se debe de cambiar con frecuencia las contraseñas de los sitios de red y aplicaciones .

35 Seguros Por lo común un seguro de equipo de computo considera o siguiente: Bienes que puede amparar. Riesgos cubiertos. Riesgos excluidos. Indemnización en caso de siniestro.

36 Condiciones generales.
La responsabilidad de los aseguradores solo procederá si cumplen los términos estipulados. Los aseguradores no se hacen responsables por perdidas o daños, de las cuales no hayan recibido notificación dentro de un determinado tiempo. El asegurado no hará ninguna acción que pueda aumentar el riesgo, a menos que los aseguradores se lo confirmen. El asegurado deberá conservar las partes dañadas y ponerlas a disposición para una inspección.

37 EXCLUCIONES ESPECIALES
Los aseguradores no serán responsables, a menos que se estipule lo contrario en las pólizas de: *Perdida o daños causados directa e indirectamente por resultantes de desastres naturales. *Perdidas o daños causados directa e indirectamente por hurto robo con o sin violencia y/o asaltos

38 DAÑOS MATERIALES Los aseguradores, en caso de que esté pegada la póliza, se encuentra vigente y que la pérdida o dañado no se encuentren específicamente excluido, indemnizarán al asegurado por tales pérdidas o daños en efectivo, o reparando o reemplazándolo.

39 DISPOCIONES APLICADAS
Es requisito indispensable del seguro que la suma asegurada sea igual al valor de reposición del bien asegurado por otro bien nuevo de la misma clase y capacidad. Si la suma asegurada es inferior al monto que debió asegurarse, los aseguradores indemnizaran solamente aquella proporción que la suma asegurada guarde con el monto que debió asegurarse.

40 BASES DE LA INDEMNIZACION
En aquellos casos en que pudiera repararse los daños ocurrido a los bienes asegurados, los aseguradores indemnizaran aquellos gastos que sean necesarios erogar para dejar la unidad dañada en las condiciones existentes. En caso de que el objeto asegurado fura totalmente dañado, robado o destruido, los aseguradores indemnizaran hasta el monto del valor actual que tuviere el objeto antes de ocurrir el siniestro

41 SEGURIDAD EN LA UTILIZACION DEL EQUIPO
*Se debe restringir el acceso a los programas y a los archivos. *No debe permitirse la entrada a al red a personas no autorizadas, ni usar las terminales

42 *Se debe monitorear periódicamente el uso de las terminales.
Para controlar este tipo de información se debe: Cuidar que no se obtenga fotocopias de información confidencial sin la debida autorización. Solo el personal autorizado debe tener acceso a la información confidencial. Controlar el número de copias. El factor más importante para la eliminación de riesgo en la programación es que todos los programas y archivos estén debidamente documentados.

43 SEGURIDAD AL RESTAURAR EL EQUIPO
Cuando ocurre una contingencia, es esencial que se conozca al detalle el motivo que la origino y el daño causado.

44 Con frecuencia un problema, un error en los datos un error de operación o una fallas del equipo hacen que una corrida en la maquina aborte antes de terminar el proceso. Cuando esto sucede, generalmente no se puede iniciar el trabajo donde se produjo la interrupción.

45 Plan de contingencia y procedimientos de respaldo en caso de desastre.
Las organizaciones deben tener todos los controles, las funciones y los dispositivos para evitar un desastre.

46 Plan de contingencia Destrucción completa o parcial del centro de cómputos. Destrucción o mal funcionamiento de los equipos auxiliares del centro de cómputos. Destrucción total o parcial de los equipos descentralizados. Perdida total o parcial de la información. Perdida de personal clave. Huelga o problemas laborales.

47 Objetivos del Plan de Contingencia
Minimizar al impacto del desastre en la organización. Establecer tareas para evaluar los procesos en la organización. Determinar el costo del plan de recuperación.

48 El plan de contingencia debe contemplar
Naturaleza, extensión y complejidad de las actividades de la organización. Grado de Riesgo al que la organización esta expuesto Tamaño de las instalaciones de la organización. Evaluación de los procesos considerados como críticos. El numero de procesos críticos. La formulación de las medidas de seguridad necesarias dependiendo del nivel de seguridad requerido. Justificación del costo de implantar las medidas de seguridad.

49 Etapas del plan de contingencia
Análisis del impacto de la organización Selección de la estrategia. Preparación del plan. Prueba. Mantenimiento.

50 Etapas del plan de contingencia
Que implicación tiene que no se recupere el sistema y cuanto tiempo podríamos estar sin utilizarlo? Existe un procedimiento alterno y que problema nos ocasionaría? Que se ha hecho en un caso de emergencia?

51 Cuestionarios para análisis del impacto en la organización
Estos cuestionarios no deben plantear preguntas especificas sino de las aéreas en general, también tendrán que ser incluidas otras aéreas no automatizadas que pueden tener información critica y recursos físicos(maquinaria) para la continuidad del funcionamiento de organización.

52 Cuestionarios de funciones criticas
Son diseñados para recolectar información que refleje la importancia de cada proceso en la organización, y poder evaluar que tan critica puede ser una función o si es posible que esta se detenga durante un periodo determinado, un cuestionario para cada proceso.

53 Para determinar lo que es “critico” se debe de utilizar la medida de “tolerancia” que es definida como la capacidad de continuar con los procesos durante la interrupción de las actividades normales de la organización. Si la tolerancia de un proceso es pequeña el proceso es probablemente critico, la tolerancia puede ser cuantificada en términos monetarios, de impacto a la organización y de impacto a la imagen de la misma.

54 Selección de la estrategia.
Una ves que hemos definido el grado de riesgo hay que elaborar una lista de los sistemas con las medidas preventivas que se deben tomar así como las correctivas en caso de desastre, señalándole a cada función su prioridad. El siguiente paso es identificar y comentar procesos alternativos para procesos identificados como críticos en la organización.

55 En caso de desastre se procurara trabajar los sistemas de acuerdo con sus prioridades ya que no se podrá hacer en otra instalación en la misma forma como se venían trabajando en la instalación original. Las medidas de prevención de desastre deben estar respaldadas el un lugar seguro.

56 Es importante contar con la documentación completa del plan de contingencia para ser usada en caso de desastre. Esta debe de ser evaluada y aprobada y periódicamente revisada para actualizarla. Los departamentos deben tener implantada su propia estrategia de respaldo. Se debe asegurar que el personal asignado a la tarea de recolección de datos este correctamente instruido.

57 Respecto a la configuPor otro lado se debe establecer una relación estrecha con el personal de seguridad a fin de proteger la información. ración del equipo hay que tener toda la información correspondiente al hardware y software del equipo propio y de respaldo.

58 Es conveniente incluir en el acuerdo de soporte reciproco los siguientes puntos:
Configuración de equipos. Configuración de equipos de captación de datos. Sistemas operativos. Configuración de equipos periféricos.

59 Finalmente se deberá tener una lista de los requerimientos mínimos para un efectivo plan de recuperación en caso de desastre.

60 Tarjetas

61

62

63

64

65

66

67

68

69

70

71 Gracias por su atención!!!