aplicación de la seguridad informática · pdf fileaplicación de la...
TRANSCRIPT
Aplicación de la Seguridad Informática
1
Conalep Ing. Bernardo
Quintana Arrioja Portafolio de Evidencias
Aplicación de la Seguridad
Informática
Mtra. Luz Yuvina Campos García
Profesional Técnico Bachiller en Informática
Agosto 2014
Alumno: _________________________________________________
Matricula: ______________________Grupo:_____________
Sello: ____________________
Aplicación de la Seguridad Informática
2
Contenido Presentación ___________________________________________________________________________ 3
Propósito del modulo ___________________________________________________________________ 3
Misión, Visión y política de calidad. ___________________________________________________________ 4
Valores Conalep _______________________________________________________________________ 5
Hojas de evaluación ___________________________________________________________________ 6
Contrato de Aprendizaje ___________________________________________________________________ 9
Mapa curricular del modulo ___________________________________________________________ 10
Tabla de ponderación _________________________________________________________________ 13
________________________________________________________________ 14 Evaluación Diagnóstica
UNIDAD 1. APLICACIÓN DE ESTANDARES DE PROTECCION DE LA INFORMACIÓN ___________ 15
A. ANÁLISIS DE ELEMENTOS DE LA SEGURIDAD INFORMÁTICA. _________________________________________ 15
CONCEPTO DE SEGURIDAD. _____________________________________________________________________ 18
CONCEPTO DE INFORMACIÓN. __________________________________________________________________ 18
Concepto de informática _______________________________________________________________________ 18
Concepto de seguridad informática _____________________________________________________________ 18
Aplicación de la Seguridad Informática
3
Presentación
El siguiente portafolio de evidencias tiene como finalidad mostrar al alumno los
lineamientos a seguir en la asignatura de Aplicación de la Seguridad
Informática, durante el semestre Agosto- Diciembre 2014.
Propósito del modulo
Ofrecer servicios de seguridad informática apegados a procedimientos,
estándares en equipos de cómputo y necesidades del cliente, a través de la
aplicación, administración y control de herramientas de protección,
garantizando integridad, disponibilidad y confidencialidad en la información
almacenada en sistemas informáticos.
Aplicación de la Seguridad Informática
4
Misión, Visión y política de calidad.
Aplicación de la Seguridad Informática
5
Valores Conalep
Calidad
Hacemos las cosas bien desde la
primera vez, teniendo en mente a
la persona o área que hará uso de
nuestros productos o servicios,
considerando lo que necesita y
cuándo lo necesita.
Compromiso con la sociedad
Reconocemos a la sociedad
como la beneficiaria de nuestro
trabajo, considerando la
importancia de su participación
en la determinación de nuestro
rumbo. Para ello debemos
atender las necesidades
específicas de cada región,
aprovechando las ventajas y
compensando las desventajas en
cada una de ellas
Comunicación
Fomentamos la fluidez de
comunicación institucional, lo que
implica claridad en la transmisión
de ideas y de información, así
como una actitud responsable por
parte del receptor.
Cooperación
El todo es más que las suma de las
partes, por lo que impulsamos el
trabajo en equipo, respetando las
diferencias, complementando
esfuerzos y construyendo
aportaciones de los demás.
Mentalidad positiva
Tenemos la disposición para enfrentar retos
con una visión de éxito, considerando que
siempre habrá una solución para cada
problema y evitando la inmovilidad ante
la magnitud de la tarea a emprender.
Respeto a la persona
Consideramos a cada una de las personas
como individuos dignos de atención, con
intereses más allá de lo estrictamente
profesional o laboral.
Responsabilidad
Cada uno de nosotros debe responsabilizarse del resultado
de su trabajo y tomar sus propias decisiones dentro del
ámbito de su competencia.
Conalep Ing.
Bernardo Quintana
Arrioja
Aplicación de la Seguridad Informática
6
Hojas de evaluación
1. Utiliza estándares de protección de la información.
HOJA DE EVALUACIÓN 1
Nombre del
alumno
No. de
lista
Nombre del
profesor
Mtra. Luz Yuvina Campos García Grupo
Fecha Actividad
(TAREA, PRACTICA, EXPO, ETC)
Calificaci
ón Firma o Sello
PROMEDIO
Aplicación de la Seguridad Informática
7
2. Administra herramientas de seguridad informática.
HOJA DE EVALUACIÓN 2
Nombre del
alumno
No. de
lista
Nombre del
profesor
Mtra. Luz Yuvina Campos García Grupo
Fecha Actividad
(TAREA, PRACTICA, EXPO, ETC)
Calificaci
ón Firma o Sello
PROMEDIO
Aplicación de la Seguridad Informática
8
Criterios de evaluación
Portafolio de evidencias.
(Carpeta, Tareas, Ejercicios)
•50%
Trabajos de investigación •25%
Evidencia por desempeño. Practicas.
•25%
Aplicación de la Seguridad Informática
9
Contrato de Aprendizaje
La falta o incumplimiento de este contrato traerá como consecuencia la aplicación del Reglamento Escolar de la
escuela: llamada de atención, reporte, entrevista con el padre o tutor y/o suspensión de clases, dependiendo de la
falta cometida y con la debida autorización de las autoridades correspondientes del plantel.
Nombre y firma del Alumno Nombre y firma del Profesor
____________________________________
Nombre y firma del padre o Tutor.
Incluir copia del IFE
Lineam
ientos
Normas de asistencia
Asistir puntualmente a clases.(si llegan tarde entran a clase con hora falta)
Deberás cumplir con el 80% de asistencia para tener derecho a evaluación.
Normas de comportamiento
Prohibido ingerir alimentos al interior del aula.
Queda prohibida la salida a los sanitarios a dos o más alumnos al mismo tiempo.
Se negarán los permisos para la salida a la cafetería.
Los horarios para todo trámite administrativo son fuera del horario de clase
(servicio social, justificación de faltas, control escolar, etc.)
No hacer mal uso de los equipos celulares.
No utilizar ningún aparato reproductor de música, ni audífonos en clase
La mala conducta y falta de respeto se reportará al departamento de preceptoría.
Portar la credencial de la escuela
Debes traer el uniforme dentro y fuera del salón de clases.
Normas de evaluación
Deberás traer el material solicitado en clase
Traer el portafolio de evidencias todas las clases
Visitar el blog del docente para revisar tareas, trabajos y material solicitado
Luzyuvinacampos.wordpress.com
Todo trabajo entregado fuera de tiempo, tendrá como consecuencia la
disminución de calificación dependiendo el tiempo de entrega.
Aplicación de la Seguridad Informática
10
Mapa curricular del modulo
Aplicación de la Seguridad Informática. 72 hrs.
1. Utiliza estándares de protección de la información. 27 horas • 1.1 Determina riesgos de seguridad informática con base en las características del equipo y las
necesidades del usuario. 15 horas • 1.2 Elabora el plan de seguridad en cómputo acorde con los riesgos determinados y estándares de
protección. 12 horas
2. Administra herramientas de seguridad informática. 45 horas • 2.1 Instala y configura herramientas informáticas acorde con los estándares y buenas prácticas de
seguridad en cómputo. 23 horas • 2.2 Da seguimiento a la operación de las herramientas informáticas de acuerdo con el plan de
seguridad determinado. 10 horas • 2.3 Controla parámetros de seguridad mediante verificación y actualización de acorde con nuevos
requerimientos obtenidos. 12 horas
Aplicación de la Seguridad Informática
11
Unidad de aprendizaje: 1. Aplicación de estándares de
protección de la información.
Propósito de la unidad: Aplicará estándares de seguridad informática de acuerdo con riesgos que se identifiquen para
quedar implícitos en apego a mejores prácticas del uso de la tecnología en el mercado..
RESULTADO DE APRENDIZAJE: 1.1 DETERMINA RIESGOS DE SEGURIDAD INFORMÁTICA CON BASE EN LAS
CARACTERÍSTICAS DEL EQUIPO Y LAS NECESIDADES DEL USUARIO.
A Análisis de elementos de la seguridad informática.
Concepto de Seguridad.
Concepto de información.
Concepto de informática.
Concepto de seguridad informática
Principios de la seguridad informática.
o Confidencialidad.
o Integridad.
o Disponibilidad.
B Clasificación de los principales riesgos de la seguridad
informática.
Concepto de riesgo.
Tipos de riesgos
o Alto
o Medio
o Bajo
Matriz de riesgo
Concepto de vulnerabilidad.
Riesgos Lógicos.
o Códigos maliciosos.
o Spam.
o Piratería.
o Fuga de información.
o Ingeniería social.
o Intrusos informáticos.
Riesgos físicos.
C Recopilación de información de la organización.
Objetivos corporativos.
Organigramas.
Manuales de procesos.
D Identifica y analiza niveles de riesgo en la
organización.
Analiza configuraciones de seguridad en grupos
y cuentas de usuario en el sistema operativo.
o Cuestionarios.
o Entrevistas.
o Ficha técnica.
Políticas aplicadas la seguridad informática.
Concepto de riesgo.
Tipos de riesgos
o Alto
o Medio
o Bajo
Matriz de riesgo
Concepto de vulnerabilidad.
Riesgos Lógicos.
o Códigos maliciosos.
o Spam.
o Piratería.
o Fuga de información.
o Ingeniería social.
o Intrusos informáticos.
Riesgos físicos.
o De cuenta
o De auditoria
o Restricciones a usuarios
o Restricciones de software
o Firewall
o Antivirus
o Antispyware
Permisos en carpetas y documentos compartidos
Actualizaciones de sistema operativo y
aplicaciones.
Respaldos de información
E Identifica riesgos físicos en la organización aplicados a
equipos de cómputo y comunicaciones.
Controles de acceso.
Protección contra falla eléctrica
Protección contra desastres naturales.
Administración del software de la organización.
RESULTADO DE APRENDIZAJE: 1.2 ELABORA EL PLAN DE SEGURIDAD EN CÓMPUTO ACORDE CON LOS RIESGOS
DETERMINADOS Y ESTÁNDARES DE PROTECCIÓN.
A. Analiza modelos y buenas prácticas de seguridad
informática.
ITIL
Cobit
ISM3
B. Analiza estándares internacionales de seguridad
informática
BS 17799
Serie ISO 27000
o ISO 27001
o ISO 27002
ISO 20000
C. Definición del plan de seguridad informática.
Descripción de los principales elementos de
protección.
Definición de las metas de seguridad a alcanzar
en un periodo de tiempo establecido.
Definición de políticas.
o De acceso físico a equipos.
o De acceso lógico a equipos.
Aplicación de la Seguridad Informática
12
o Para la creación de cuentas de usuario.
o Para el manejo de bitácoras.
o De protección de red (firewall).
o Para la administración de software de
seguridad.
o Para la gestión de actualizaciones.
o De control de cambios.
o De almacenamiento.
o Para archivos compartidos.
o De respaldo.
D. Establece métricas y mecanismos para la evaluación
de los controles implementados.
Define indicadores para evaluar la eficiencia de
los controles implementados.
Define el modo en que los indicadores serán
medidos.
Unidad de aprendizaje: 2. Administra herramientas de
seguridad informática.
Propósito de la unidad: Administrará herramientas informáticas de acuerdo con el plan de seguridad determinado y
situaciones específicas a resolver a fin de lograr el control y la integridad de la información.
RESULTADO DE APRENDIZAJE: 2.1 INSTALA Y CONFIGURA HERRAMIENTAS INFORMÁTICAS ACORDE CON LOS
ESTÁNDARES Y BUENAS PRÁCTICAS DE SEGURIDAD EN CÓMPUTO.
A. Elaboración de manual de instalación y configuración
de software.
Requerimientos de instalación.
Procedimiento de instalación.
Procedimiento de configuración.
B. Configuración local de seguridad.
Actualizaciones automáticas para el sistema
operativo y aplicaciones.
Administración de actualizaciones.
- Clasificación de actualizaciones.
- Servidores centrales de actualizaciones.
Manejo de cuentas.
Manejo de bitácoras.
Manejo de software.
Firewall local.
Establece políticas para el manejo del antivirus.
Establece políticas para el manejo del
antispyware.
Permisos de archivos y carpetas compartidas.
Cifrado de archivos y carpetas.
C. Configuración de red de seguridad informática
Para el firewall perimetral.
Sistema de detección de intrusos.
Protocolos de seguridad.
- IPSEC.
- http sobre ssl.
RESULTADO DE APRENDIZAJE: 2.2 DA SEGUIMIENTO A LA OPERACIÓN DE LAS HERRAMIENTAS INFORMÁTICAS
DE ACUERDO CON EL PLAN DE SEGURIDAD DETERMINADO.
A. Elabora e interpreta reportes del estado de las
aplicaciones
B. Modifica configuraciones
Conforme procedimientos definidos en el
manual.
Nuevos requerimientos.
C. Respalda las configuraciones de las aplicaciones
RESULTADO DE APRENDIZAJE: 2.3 CONTROLA PARÁMETROS DE SEGURIDAD MEDIANTE VERIFICACIÓN Y
ACTUALIZACIÓN DE ACORDE CON NUEVOS REQUERIMIENTOS OBTENIDOS.
A. Revisa la configuración de las herramientas de
seguridad aplicadas a los equipos y redes de
comunicación
Herramientas de de auditoria para la
recopilación de información „h Herramientas de
auditoria para la comparación de configuraciones.
B. Analiza reportes de las aplicaciones.
Genera reportes de operación de las
aplicaciones.
Compara métricas establecidas con los
resultados obtenidos.
Identifica nuevos requerimientos.
Define nuevos requerimientos de seguridad. en
caso necesario.
Establece medidas para solucionar nuevos
requerimientos
Determina alternativas para optimizar lo
existentes.
C. Implementación de acciones correctivas en la
configuración y ejecución de herramientas de seguridad informática.
Planes de contingencia
- Definición y características
- Alternativas de solución
- Escalamiento de problemas
Actualización de software, y de equipo de
seguridad.
Aplicación de la Seguridad Informática
13
Tabla de ponderación
Aplicación de la Seguridad Informática
14
Evaluación Diagnóstica
NOMBRE DEL ALUMNO: _________________________________________________________ GRUPO: __________________
FECHA: _________________________
I. CONTESTA LAS SIGUIENTES PREGUNTAS
1. ¿Qué es una computadora?
__________________________________________________________________________________________________
__________________________________________________________________________________________________
2. Escribe tu correo electrónico institucional
__________________________________________________________________________________________________
__________________________________________________________________________________________________
¿Qué es informática?
__________________________________________________________________________________________________
__________________________________________________________________________________________________
¿Qué entiendes por seguridad?
__________________________________________________________________________________________________
__________________________________________________________________________________________________
2. ¿Qué entiendes por seguridad informática?
__________________________________________________________________________________________________
__________________________________________________________________________________________________
II. Relaciona las siguientes columnas, colocando el número correspondiente al tipo de dispositivo.
1. Dispositivos de entrada
2. Dispositivos de salida
3. Dispositivos de almacenamiento
4. Dispositivos de entrada/salida
( ) Teclado
( ) Mouse o ratón
( ) Monitor
( ) USB
( ) Disco duro
( ) Tarjeta de sonido
( ) Tarjeta de red
( ) Fax modem
( ) Impresora
( ) Escáner
( ) CD-ROOM
( ) Disco 3 1/2
15
UNIDAD 1. APLICACIÓN DE ESTANDARES DE PROTECCION DE LA INFORMACIÓN
1.1. Determina riesgos de seguridad informática con base en las características del
equipo y las necesidades del usuario.
Propósito: Aplicará estándares de seguridad informática de acuerdo con riesgos identificados y en
apego a las buenas prácticas del uso de la tecnología.
INTRODUCCIÓN
Si bien es cierto que todos los componentes de un sistema informático están expuestos a un ataque
(hardware, software y datos) son los datos y la información los sujetos principales de protección de las técnicas
de seguridad. La seguridad informática se dedica principalmente a proteger la confidencialidad,
la integridad y disponibilidad de la información.
La información constituye el activo más importante de las empresas, pudiendo verse afectada por muchos
factores tales como robos, incendios, fallas de disco, virus u otros. Desde el punto de vista de la empresa, uno
de los problemas más importantes que debe resolver es la protección permanente de su información crítica.
La medida más eficiente para la protección de los datos es determinar una buena política de copias de
seguridad o backups: Este debe incluir copias de seguridad completa (los datos son almacenados en su
totalidad la primera vez) y copias de seguridad incrementales (sólo se copian los ficheros creados o
modificados desde el último backup). Es vital para las empresas elaborar un plan de backup en función del
volumen de información generada y la cantidad de equipos críticos.
A. ANÁLISIS DE ELEMENTOS DE LA SEGURIDAD INFORMÁTICA.
Garantizar que los recursos informáticos de una compañía estén disponibles para cumplir sus propósitos, es
decir, que no estén dañados o alterados por circunstancias o factores externos, es una definición útil para
conocer lo que implica el concepto de seguridad informática.
En términos generales, la seguridad puede entenderse como aquellas reglas técnicas y/o actividades
destinadas a prevenir, proteger y resguardar lo que es considerado como susceptible de robo, pérdida o
daño, ya sea de manera personal, grupal o empresarial.
En este sentido, es la información el elemento principal a proteger, resguardar y recuperar dentro de las redes
empresariales.
16
Por la existencia de personas ajenas a la información, también conocidas como piratas informáticos o
hackers, que buscan tener acceso a la red empresarial para modificar, sustraer o borrar datos.
Tales personajes pueden, incluso, formar parte del personal administrativo o de
sistemas, de cualquier compañía; de acuerdo con expertos en el área, más de 70
por ciento de las Violaciones e intrusiones a los recursos informáticos se realiza por el
personal interno, debido a que éste conoce los procesos, metodologías y tiene
acceso a la información sensible de su empresa, es decir, a todos aquellos datos
cuya pérdida puede afectar el buen funcionamiento de la organización.
Esta situación se presenta gracias a los esquemas ineficientes de seguridad con los que cuentan la mayoría de
las compañías a nivel mundial, y porque no existe conocimiento relacionado con la planeación de un
esquema de seguridad eficiente que proteja los recursos informáticos de las actuales amenazas combinadas.
El resultado es la violación de los sistemas, provocando la pérdida o modificación de los datos sensibles de la
organización, lo que puede representar un daño con valor de miles o millones de dólares.
Por vulnerabilidad entendemos la exposición latente a un riesgo. En el área de informática, existen varios
riesgos tales como: ataque de virus, códigos maliciosos, gusanos, caballos de troya y hackers; no obstante,
con la adopción de Internet como instrumento de comunicación y colaboración, los riesgos han
evolucionado y, ahora, las empresas deben enfrentar ataques de negación de servicio y amenazas
combinadas; es decir, la integración de herramientas automáticas de "hackeo", accesos no autorizados a los
sistemas y capacidad de identificar y explotar las vulnerabilidades de los sistemas operativos o aplicaciones
para dañar los recursos informáticos.
Específicamente, en los ataques de negación de servicio, el equipo de cómputo ya no es un blanco, es el
medio a través del cual es posible afectar todo el entorno de red; es decir, anular los servicios de la red,
saturar el ancho de banda o alterar el Web Site de la compañía. Con ello, es evidente que los riesgos están en
la red, no en la PC.
Es por la existencia de un número importante de amenazas y riesgos, que la infraestructura de red y recursos
informáticos de una organización deben estar protegidos bajo un esquema de seguridad que reduzca los
niveles de vulnerabilidad y permita una eficiente administración del riesgo.
Para ello, resulta importante establecer políticas de seguridad, las cuales van desde el monitoreo de la
infraestructura de red, los enlaces de telecomunicaciones, la realización del respaldo de datos y hasta el
17
reconocimiento de las propias necesidades de seguridad, para establecer los niveles de protección de los
recursos.
Las políticas deberán basarse en los siguientes pasos:
Identificar y seleccionar lo que se debe proteger (información sensible)
Establecer niveles de prioridad e importancia sobre esta información
Conocer las consecuencias que traería a la compañía, en lo que se refiere a costos y
productividad, la pérdida de datos sensibles
Identificar las amenazas, así como los niveles de vulnerabilidad de la red
Realizar un análisis de costos en la prevención y recuperación de la información, en caso
de sufrir un ataque y perderla
Implementar respuesta a incidentes y recuperación para disminuir el impacto
Este tipo de políticas permitirá desplegar una arquitectura de seguridad basada en soluciones tecnológicas,
así como el desarrollo de un plan de acción para el manejo de incidentes y recuperación para disminuir el
impacto, ya que previamente habremos identificado y definido los sistemas y datos a proteger.
Es importante tomar en consideración, que las amenazas no disminuirán y las vulnerabilidades no
desaparecerán en su totalidad, por lo que los niveles de inversión en el área de seguridad en cualquier
empresa, deberán ir acordes a la importancia de la información en riesgo.
Así mismo, cada dispositivo que conforma la red empresarial necesita un nivel de
seguridad apropiado y la administración del riesgo implica una protección
multidimensional (firewalls, autenticación, \ antivirus, controles, políticas,
procedimientos, análisis de vulnerabilidad, entre otros), y no únicamente
tecnología.
Un esquema de seguridad empresarial contempla la seguridad física y lógica de
una compañía. La primera se refiere a la protección contra robo o daño al
personal, equipo e instalaciones de la empresa; y la segunda está relacionada
con el tema que hoy nos ocupa: la protección a la información, a través de una arquitectura de seguridad
eficiente.
Esta última debe ser proactiva, integrar una serie de iniciativas para actuar en forma rápida y eficaz ante
incidentes y recuperación de información, así como elementos para generar una cultura de seguridad dentro
de la organización.
Desde el punto de vista de soluciones tecnológicas, una arquitectura de seguridad lógica puede conformarse
(dependiendo de los niveles de seguridad) por: software antivirus, herramientas de respaldo, de monitoreo de
la infraestructura de red y enlaces de telecomunicaciones, firewalls, soluciones de autentificación y servicios
de seguridad en línea; que informen al usuario sobre los virus más peligrosos y, a través de Internet, enviar la
vacuna a todos los nodos de la red empresarial, por mencionar un ejemplo.
18
CONCEPTO DE SEGURIDAD.
Seguridad es un concepto asociado a la certeza, falta de riesgo o contingencia. Conviene aclarar que no
siendo posible la certeza absoluta, el elemento de riesgo está siempre presente, independiente de las
medidas que tomemos, por lo que debemos hablar de niveles de seguridad. La seguridad absoluta no es
posible y en adelante entenderemos que la seguridad informática es un conjunto de técnicas encaminadas a
obtener altos niveles de seguridad en los sistemas informáticos. Además, la seguridad informática precisa de
un nivel organizativo, por lo que diremos que:
Sistema de Seguridad = TECNOLOGIA + ORGANIZACION
CONCEPTO DE INFORMACIÓN.
Información: Es el objeto de mayor valor para una organización, el objetivo es el resguardo de la
información, independientemente del lugar en donde se encuentre registrada, en algún medio
electrónico o físico. Para esto es vital contar con un sistema de respaldo remoto y automático,
que permita además una recuperación rápida de los datos ante un desastre.
Concepto de informática
La Informática es la ciencia aplicada que abarca el estudio y aplicación del tratamiento
automático de la información, utilizando sistemas computacionales, generalmente implementados
como dispositivos electrónicos. También está definida como el procesamiento automático de la
información
Concepto de seguridad informática
La seguridad informática consiste en asegurar que los recursos del sistema de información (material
informático o programas) de una organización sean utilizados de la manera que se decidió y que el
acceso a la información allí contenida, así como su modificación, sólo sea posible a las personas
que se encuentren acreditadas y dentro de los límites de su autorización.