ndice

I.Introduccin2II.Especificacindelaevaluacin..2

II.I.Aspectoaevaluar2II.IICriteriosdeevaluacin3II.IIIRigordelaevaluacin...3

III.Procedimientodelaevaluacin3IV.Resultadosdelaevaluacin.4

IV.IRolAdministrador4

IV.I.ITabladeresultados.4

IV.I.IIObservaciones.5IV.IIRolAsesor..9

IV.II.ITabladeresultados9

IV.II.IIObservaciones..10IV.IIIRolGrupoEmpresa.19

IV.III.ITabladeresultados..19

1

IV.III.IIObservaciones..19

V.Conclusiones..21

2

Documento de Evaluacin de la Seguridad a Nivel Permisos de Usuario

I. Introduccin El presente documento contiene informacin y resultados del proceso de EvaluacindelaseguridadanivelpermisosdeusuariodelsistemaSAETIS.El objetivo de este documento es obtener informacin acerca del nivel de seguridad que ofrece el sistema SAETIS respecto a los accesos de los usuarios. Es de vital importancia ya que los permisos de usuario determinan si un usuario obtendr acceso a funciones que ofrece el sistema, evitando de esta manera que un usuario cualquiera pueda hacer cambios a los cuales no tieneaccesodentrodelsistema.

II. Especificacin de la evaluacin Para asegurar la calidad de tal evaluacin se ha utilizado como referencia la normaISO/IEC:25040(http://iso25000.com/index.php/normasiso25000).Para realizar esta actividad se har uso del sistema SAETIS y de la lista de requerimientos que ha sido recopilado a partir del Manual de Usuario, estos requerimientos han sido agrupados segn los roles y sern mencionados en laseccinIV.

II.I. Aspecto a evaluar

El aspecto a evaluar para la verificacin de los permisos de usuario es la correctitud, esto significara que el requerimiento slo puede ser accedido porelusuarioquelecorresponde.

3

II.II Criterios de evaluacin Se calificara que el requerimiento tiene los permisos de usuario correctos si este puede ser accedido por el tipo de usuario que le corresponde y no as porlosotrostiposdeusuarios.Por ejemplo, el requerimiento El administrador registra los administradores ser correcto solo si un administrador puede acceder y realizar esta funcin. En caso de que al menos otro tipo de usuario pueda acceder o realizar esta funcinsecalificarademaneraincorrecta.

II.III Rigor de la evaluacin Debido a que el sistema SAETIS es accedido por diferentes tipos de usuario es muy importante que cada uno de estos no tengan acceso a funciones de ningnotrotipodeusuario.Por este motivo no basta solo con verificar los enlaces que dispone cada tipo de usuario entonces se realizar una verificacin de acceso por URL, debiendo el sistema redireccionar al usuario en caso de que este intente accederafuncionesdeotrotipodeusuario.

III. Procedimiento de la evaluacin

Serealizunagrupamientodelosrequerimientostomandolossiguientestiposdeusuario:

Administrador Asesor GrupoEmpresa Invitado

Entonceslaevaluacinprocededelasiguienteforma:

4

1. Seseleccionaelrequerimientoaevaluardeuntipodeusuario.2. IntentandoaccederporURL,severificaqueesterequerimientono

puedaseraccedidoypuestoenmarchaporningnotrotipodeusuario.Paracadatipodeusuarioquenocorrespondaelrequerimientoseprocededelasiguientemanera:

a. Accederconunacuentadeesetipodeusuario(exceptoinvitado).

b. AccedermedianteURLalafuncindelrequerimiento.3. Seobtieneunresultadodelaverificacin.4. Documentacindelasobservacionesobtenidas.Esteprocedimientoserepitesistemticamenteparacadaunodelosrequerimientosdecadatipodeusuario.

IV. Resultados de la evaluacin SemarcaconunaXencasodequeelrequerimientopuedaseraccedidoporunusuarionopermitidoloquesignificaraqueelrequerimientonopasalapruebadeseguridaddepermisos.

IV.I Rol Administrador

IV.I.I Tabla de resultados

N Requerimiento Asesor GrupoEmpresa

Invitado

1 Eladministradorregistralosadministradores. X X X

2 Eladministradorvelalistadeusuariosregistrados.

X X X

3 Eladministradormodificaelestadodelos X X X

5

usuarios.

4 EladministradoraccedealalistadeintegrantesdelaGrupoEmpresa.

X X X

5 EladministradorgestionalasGrupoEmpresas. X X X

6 Eladministradorgestionaalosadministradores. X X X

7 Eladministradorgestionalosasesores. X X X

8 Eladministradorgestionalosrolesdentrodelsistema.

X X X

9 Eladministradoraadenuevasgestionesenelsistema.

X X X

10 Eladministradoraccedeaunabitcoraconregistrosdelosingresosalsistema.

X X X

11 Eladministradorgestionaregistrosenlabitcoradeingresos.

X X X

12 Eladministradorenvauninformedevalidacinderegistro.

X X X

IV.I.II Observaciones

1. El administrador registra los administradores.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/registro_administrador.php

Asesor:Puederegistraraunadministrador,soloesnecesariaelURL.GrupoEmpresa:Puederegistraraunadministrador,soloesnecesariaelURL.Invitado:Puederegistraraunadministrador,soloesnecesariaelURL.

6

2. El administrador ve la lista de usuarios registrados.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/lista_usuarios.phpAsesor:Puedeverlalistadeusuarioregistrados,sloesnecesariaelURL.GrupoEmpresa:Puedeverlalistadeusuarioregistrados,sloesnecesariaelURL.Invitado:Puedeverlalistadeusuarioregistrados,sloesnecesariaelURL.

3. El administrador modifica el estado de los usuarios.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/asignar_permisos.php

Asesor:Puedemodificarelestadodelosusuarios,soloesnecesarioelURL.GrupoEmpresa:Puedemodificarelestadodelosusuarios,soloesnecesarioelURL.Invitado:Puedemodificarelestadodelosusuarios,soloesnecesarioelURL.

4. El administrador accede a la lista de integrantes de la Grupo Empresa.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/lista_grupoEmpresa.php

Asesor:PuedeaccederalalistadeintegrantesdecualquierGrupoEmpresa,soloesnecesarioelURL.GrupoEmpresa:PuedeaccederalalistadeintegrantesdecualquierGrupoEmpresa,soloesnecesarioelURL.Invitado:PuedeaccederalalistadeintegrantesdecualquierGrupoEmpresa,soloesnecesarioelURL.

7

5.El administrador gestiona las Grupo Empresas.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/ListaGrupoEmpresas.php

Asesor:Puedegestionargrupoempresas,soloesnecesarioelURL.GrupoEmpresa:Puedegestionargrupoempresas,soloesnecesarioelURL.Invitado:Puedegestionargrupoempresas,soloesnecesarioelURL.

6. El administrador gestiona a los administradores.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/lista_administradores.php

Asesor:Puedegestionaradministradores,soloesnecesarioelURL.GrupoEmpresa:Puedegestionaradministradores,soloesnecesarioelURL.Invitado:Puedegestionaradministradores,soloesnecesarioelURL.

7. El administrador gestiona los asesores.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/lista_asesores.php

Asesor:Puedegestionarasesores,soloesnecesarioelURL.GrupoEmpresa:Puedegestionarasesores,soloesnecesarioelURL.Invitado:Puedegestionarasesores,soloesnecesarioelURL.

8. El administrador gestiona los roles dentro del sistema.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/add_roles.php

8

Asesor:Puedegestionarroles,soloesnecesarioelURL.GrupoEmpresa:Puedegestionarroles,soloesnecesarioelURL.Invitado:Puedegestionarroles,soloesnecesarioelURL.

9. El administrador aade nuevas gestiones en el sistema.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/add_gestion.php

Asesor:Puedeagregarnuevasgestiones,soloesnecesarioelURL.GrupoEmpresa:Puedeagregarnuevasgestiones,soloesnecesarioelURL.Invitado:Puedeagregarnuevasgestiones,soloesnecesarioelURL.

10. El administrador accede a una bitcora con registros de los ingresos al sistema.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/bitacora_ingreso.php

Asesor:Puedeaccederalabitcora,soloesnecesarioelURL.GrupoEmpresa:Puedeaccederalabitcora,soloesnecesarioelURL.Invitado:Puedeaccederalabitcora,soloesnecesarioelURL.

11. El administrador gestiona registros en la bitcora de ingresos.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/bitacora_ingreso.phpAsesor:Puedegestionarlosregistros,soloesnecesarioelURL.GrupoEmpresa:Puedegestionarlosregistros,soloesnecesarioelURL.Invitado:Puedegestionarlosregistros,soloesnecesarioelURL.

9

12. El administrador enva un informe de validacin de registro. ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/enviar_mail.phpAsesor:Puedeenviarmensajes,soloesnecesarioelURL.GrupoEmpresa:Puedeenviarmensajes,soloesnecesarioelURL.Invitado:Puedeenviarmensajes,soloesnecesarioelURL.

IV.II Rol Asesor

IV.II.I Tabla de resultados

N Requerimiento Administrador GrupoEmpresa

Invitado

1 Elasesoradministralasgrupoempresas. X X X

2 Elasesoraccedealoscontratosemitidos. X X X

3 Elasesoraccedeadocumentossubidos. X X X

4 Elasesoraccedeadocumentosrecibidos. X X X

5 Elasesorregistraunproyecto. X X X

6 Elasesorsubedocumentos. X X X

7 Elasesorregistradocumentosrequeridos. X X X

8 Elasesorconfiguralasfechasparalarecepcindedocumentos.

X X X

9 Elasesorcreapublicaciones. X X X

10 Elasesoremiterdenesdecambio. X X X

11 Elasesoremitenotificacindeconformidad. X X X

10

12 Elasesoremitecontratos. X X X

13 Elasesoraccedealseguimientosemanal. X X X

14 Elasesorrealizalaevaluacindelasegundafase.

X X X

15 Elasesorcreauncriteriodeevaluacin. X X X

16 Elasesorcreauncriteriodecalificacin. X X X

17 Elasesoreliminauncriteriodecalificacin. X X X

18 Elasesorcreaunformulaciondeevaluacin. X X X

19 Elasesorhabilitaunformulariodeevaluacin. X X X

20 Elasesoreliminaunformulariodeevaluacin. X X X

21 ElasesorevalaaunaGrupoEmpresa. X X X

22 Elasesorrealizaunaevaluacin. X X X

23 Elasesorgestionasuspublicaciones. X X X

24 Elasesormodificainformacinpersonal. X X X

25 Elasesoraccedealforo. X X X

26 Elasesoragregatemasalforo. X X X

27 Elasesorcomentauntemadelforo. X X X

28 Elasesoreliminauntemadesupropiedadenelforo.

X X X

IV.II.II Observaciones

1. El asesor administra las grupo empresas ElURLdeesterequerimientoes:

11

http://localhost/Saetis/Vista/AdministrarGrupoEmpresa.phpAdministrador:Lograentraralaurl,notienegrupoempresasasociadasGrupoEmpresa:Lograentraralaurl,notienegrupoempresasasociadasInvitado:Lograentraralaurl,notienegrupoempresasasociadas

2. El asesor accede a contratos emitidos ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/documentos_generados.phpAdministrador:Lograentraralaurl,notienecontratosasociados.GrupoEmpresa:Lograentraralaurl,notienecontratosasociados.Invitado:

3. El asesor accede a documentos subidos ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/lista_doc_subidos.phpAdministrador:Lograentraralaurl,notienedocumentosasociados.GrupoEmpresa:Lograentraralaurl,notienedocumentosasociados.Invitado:Lograentraralaurl,notienedocumentosasociados.

4. El asesor accede a documentos recibidos ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/documentos_recibidos.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

12

5. El asesor registra un proyecto ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/InscripcionProyecto.phpAdministrador:Lograentraralaurl,registraproyecto.GrupoEmpresa:Lograentraralaurl,registraproyecto.Invitado:Lograentraralaurl,registraproyecto.

6. El asesor sube documentos ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/subirarchivoasesor.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

7. El asesor registra documentos requeridos ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/RegistrarDocumentosRequeridos.phpAdministrador:Lograentraralaurl,registradocumentorequerido.GrupoEmpresa:Lograentraralaurl,registradocumentorequerido.Invitado:Lograentraralaurl,registradocumentorequerido.

8. El asesor configura las fechas para la recepcin de documentos ElURLdeesterequerimientoes:

13

http://localhost/Saetis/Vista/ConfiguracionFechasRecepcion.phpAdministrador:Lograentraralaurl,modificafechaderecepcin.GrupoEmpresa:Lograentraralaurl,modificafechaderecepcin.Invitado:Lograentraralaurl,modificafechaderecepcin.

9. El asesor crea publicaciones ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/publicar_asesor.phpAdministrador:Lograentraralaurl,pblica.GrupoEmpresa:Lograentraralaurl,pblica.Invitado:Lograentraralaurl,nopublica,provocafallasdeintegridadenlabasededatos.

10. El asesor emite rdenes de cambio ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/ordenDeCambio.phpAdministrador:Lograentraralaurl,notienegrupoempresasasociadasparaemitirordendecambio.GrupoEmpresa:Lograentraralaurl,notienegrupoempresasasociadasparaemitirordendecambio.Invitado:Lograentraralaurl,notienegrupoempresasasociadasparaemitirordendecambio.

11. El asesor emite notificacin de conformidad ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/notificacion_conformidad.php

14

Administrador:Lograentraralaurl,notienegrupoempresasasociadasparaemitirnotificacindeconformidad.GrupoEmpresa:Lograentraralaurl,notienegrupoempresasasociadasparaemitirnotificacindeconformidad.Invitado:Lograentraralaurl,notienegrupoempresasasociadasparaemitirnotificacindeconformidad.

12. El asesor emite contratos ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/contrato.phpAdministrador:Lograentraralaurl,notienegrupoempresasasociadasparaemitircontrato.GrupoEmpresa:Lograentraralaurl,notienegrupoempresasasociadasparaemitircontrato.Invitado:Lograentraralaurl,notienegrupoempresasasociadasparaemitircontrato.

13. El asesor accede al seguimiento semanal ElURLdeesterequerimientoes:NocontienelapginasecargaviaAJAXAdministrador:Logracargarlatabla,notienegrupoempresasasociadaspararealizarseguimiento.GrupoEmpresa:Logracargarlatabla,notienegrupoempresasasociadaspararealizarseguimiento.Invitado:Logracargarlatabla,notienegrupoempresasasociadaspararealizarseguimiento.

14. El asesor realiza la evaluacin de la segunda fase

15

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/lista_evaluacion.phpAdministrador:Lograentraralaurl,notienegrupoempresasasociadaspararealizarevaluacin.GrupoEmpresa:Lograentraralaurl,notienegrupoempresasasociadaspararealizarevaluacin.Invitado:Lograentraralaurl,notienegrupoempresasasociadaspararealizarevaluacin.

15. El asesor crea un criterio de evaluacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/CrearModalidadEvaluacion.phpAdministrador:Lograentraralaurl,nocreacriteriodeevaluacinporfallasdeintegridadenlabasededatos.GrupoEmpresa:Lograentraralaurl,nocreacriteriodeevaluacinporfallasdeintegridadenlabasededatos.Invitado:Lograentraralaurl,nocreacriteriodeevaluacinporfallasdeintegridadenlabasededatos.

16. El asesor crea un criterio de calificacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/CrearModalidadCalificacion.phpAdministrador:Lograentraralaurl,nocreacriteriodecalificacinporfallasdeintegridadenlabasededatos.GrupoEmpresa:Lograentraralaurl,nocreacriteriodecalificacinporfallasdeintegridadenlabasededatos.Invitado:Lograentraralaurl,nocreacriteriodecalificacinporfallasdeintegridadenlabasededatos.

16

17. El asesor elimina un criterio de calificacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/EliminarCriterioCalificacion.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

18. El asesor crea un formulario de evaluacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/CrearFormulario.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

19. El asesor habilita un formulario de evaluacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/SeleccionarFormulario.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

20. El asesor elimina un formulario de evaluacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/EliminarFormulario.php

17

Administrador:Lograentraralaurl,notieneformulariosasociados.GrupoEmpresa:Lograentraralaurl,notieneformulariosasociados.Invitado:Lograentraralaurl,notieneformulariosasociados.

21. El asesor evala a una Grupo Empresa ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/EvaluarGrupoEmpresa.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

22. El asesor realiza una evaluacin ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/EvaluacionGeneral.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

23. El asesor gestiona sus publicaciones ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/publicaciones.phpAdministrador:Lograentraralaurl,eliminalaspublicacionesquehacreado.GrupoEmpresa:Lograentraralaurl,eliminalaspublicacionesquehacreado.Invitado:Lograentraralaurl,eliminalaspublicacionesquehacreado.

18

24. El asesor modifica informacin personal ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/modificar_asesor.phpAdministrador:Lograentraralaurl,indicaquemodificasuinformacin.GrupoEmpresa:Lograentraralaurl,indicaquemodificasuinformacin.Invitado:Lograentraralaurl,indicaquemodificasuinformacin.

25. El asesor accede al foro ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/listadenoticias.phpAdministrador:Lograentraralaurl.GrupoEmpresa:Lograentraralaurl.Invitado:Lograentraralaurl.

26. El asesor agrega temas al foro ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/adicionarnoticia.phpAdministrador:Lograentraralaurl,agreganuevotemaalforo.GrupoEmpresa:Lograentraralaurl,agreganuevotemaalforo.Invitado:Lograentraralaurl,noagregatema,provocafallasdeintegridadenlabasededatos.

27. El asesor comenta un tema del foro ElURLdeesterequerimientoes:

19

http://localhost/Saetis/Vista/noticia.php?id=3Administrador:Lograentraralaurl,comenta.GrupoEmpresa:Lograentraralaurl,comenta.Invitado:Lograentraralaurl,comenta.

28. El asesor elimina un tema de su propiedad en el foro ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/listadenoticias.phpAdministrador:Lograentraralaurl,eliminatema.GrupoEmpresa:Lograentraralaurl,eliminatema.Invitado:Lograentraralaurl,nopuedeeliminarporquenotienetemasasociados.

IV.III Rol Grupo Empresa

IV.III.I Tabla de resultados

N Requerimiento Administrador Asesor Invitado

1 LaGrupoEmpresasubesuspropuestasalsistema.

X X X

2 LaGrupoEmpresavelosdocumentosenviados.

X X X

3 LaGrupoEmpresaregistraasussocios. X X X

4 LaGrupoEmpresaseleccionaaunsociocomorepresentantelegal.

X X X

5 LaGrupoEmpresaseleccionaunasesor. X X X

20

6 LaGrupoEmpresaseinscribeaunproyecto. X X X

IV.III.II Observaciones

1. La Grupo Empresa sube sus propuestas al sistema.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/SubirDocumento.php?doc=Membreete

Administrador:PuedeingresaralURL.Asesor:PuedeingresaralURL.Invitado:PuedeingresaralURL.

2. La Grupo Empresa ve los documentos enviados.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/publicacion_grupo.php

Administrador:Puedeverlosdocumentosenviados,soloesnecesariaelURL.Asesor:Puedeverlosdocumentosenviados,soloesnecesariaelURL.

Invitado:Puedeverlosdocumentosenviados,soloesnecesariaelURL.

3. La Grupo Empresa registra a sus socios.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/AnadirSocio.phpAdministrador:Alintentarregistraraunsocio,generaunerrordeSQL,porquenoesunagrupoempresa,soloesnecesariaelURL.Asesor:Alintentarregistraraunsocio,generaunerrordeSQL,porquenoesunagrupoempresa,soloesnecesariaelURL.

21

Invitado:Alintentarregistraraunsocio,generaunerrordeSQL,porquenoesunagrupoempresa,soloesnecesariaelURL.

4. La Grupo Empresa selecciona a un socio como representante legal.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/AnadirRL.php

Administrador:PuedeingresaralURL.Asesor:PuedeingresaralURL.Invitado:PuedeingresaralURL.

5. La Grupo Empresa selecciona un asesor.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/seleccionar_asesor.phpAdministrador:PuedeingresaralURL.Asesor:PuedeingresaralURL.Invitado:PuedeingresaralURL.

6. La Grupo Empresa se inscribe a un proyecto.

ElURLdeesterequerimientoes:http://localhost/Saetis/Vista/InscripcionGEProyecto.phpAdministrador:PuedeingresaralURL.Asesor:PuedeingresaralURL.Invitado:PuedeingresaralURL.

V. Conclusiones

22

Resumiendolosdatosobtenidosenlastablasderesultadosdelosrolesdeusuariotenemosque:

NingnRequerimientodelRoladministradorsuperlaevaluacin. NingnRequerimientodelRolAsesorsuperlaevaluacin. NingnRequerimientodelRolGrupoEmpresasuperlaevaluacin.

Entoncesenbasealosresultadosobtenidosdelaevaluacindeseguridaddepermisosdeusuariopodemosconcluirquenoseaplicaronestndaresdeseguridadenlosarchivosdelasfuncionesdelosrequerimientosparaevitarqueestosseanaccedidospordiferentestiposdeusuario.

23