Seguridad Informatica-Grupo 3

Universidad Nacional Mayor de San
Seguridad Informtica
Marcos
Facultad de ciencias Contables
2014
AUDITORA DE TECNOLOGAS
DE LA INFORMACIN
SEGURIDAD INFORMTICA
PROFESOR:
Pastor Carrasco, Carlos Alberto
ALUMNAS:
Asencios Loarte, Claudia.
11110377
Guevara Camacho, Yoselin.
11110334
Omonte Tello, Anali.
11110278
Soto Meja, Patricia .
11110291
TiconaCoarite, Bertha .
11110292
1
AULA: 312 N
DEDICADO A:
Nuestros profesores
porque son guas en el
aprendizaje,
brindndonos los
actuales conocimientos
para nuestro buen
desenvolvimiento en la
sociedad y a nuestros
padres maravillosos,
quienes nos apoyan en
2
INTRODUCCIN
En un mundo interconectado, es necesario buscar un equilibrio entre disfrutar la
comodidad que ofrecen las tecnologas de la informacin y minimizar las oportunidades que
su uso les ofrece a los delincuentes cibernticos, quienes pueden, por ejemplo, difundir
amenazas complejas explotando los populares dispositivos mviles y las aplicaciones en la
nube para infiltrarse en blancos de alto valor y han convertido el espacio ciberntico en un
medio para victimizar al pblico.
El acceso no autorizado a una red informtica o a los equipos que en ella se
encuentran puede ocasionar en la gran mayora de los casos graves problemas.
Para lograr sus objetivos la seguridad informtica se fundamenta en tres principios,
que debe cumplir todo sistema informtico:
Confidencialidad: Se refiere a la privacidad de los elementos de informacin
almacenados y procesados en un sistema informtico. Basndose en este principio, las
herramientas de seguridad informtica deben proteger el sistema de invasiones y accesos
por parte de personas o programas no autorizados.
Integridad: Se refiere a la validez y consistencia de los elementos de informacin
almacenados y procesador en un sistema informtico. Basndose en este principio, las
herramientas de seguridad informtica deben asegurar que los procesos de actualizacin
estn bien sincronizados y no se dupliquen.
Disponibilidad: Se refiere a la continuidad de acceso a los elementos de informacin
almacenados y procesados en un sistema informtico. Basndose en este principio, las
herramientas de seguridad informtica deber reforzar la permanencia del sistema informtico,
3
en condiciones de actividad adecuadas para que los usuarios accedan a los datos con la
frecuencia y dedicacin que requieran.
En el presente trabajo monogrfico hablaremos sobre la importancia de seguridad
informtica, haremos referencias sobre a las formas que existen para proteger los sistemas
informticos y la informacin que contienen sobre accesos no autorizados, daos,
modificaciones o destrucciones.
INDICE
1. Concepto, principios y Objetivos
2. Amenazas
2.1 Ingeniera Social
2.2 Tipos de amenaza
2.3 Amenaza informtica del futuro
4
7
9
9
11
3. Anlisis de riesgos
3.1 Elementos de un anlisis de riesgo
11
12
4. Anlisis de impacto al negocio
28
5. Puesta en marcha de una poltica de seguridad
29
6. Tcnicas para asegurar el sistema

6.1 Respaldo de informacin
6.2 Proteccin contra virus
6.2.1 Control del software instalado
6.2.2 Control de la red
6.3 Proteccin fsica de acceso a las redes
6.3.1 Redes cableadas
6.3.2 Redes inalmbricas
6.4 Sanitizacin
30
42
44
7. Algunas afirmaciones errneas comunes acerca de la seguridad
50
49
50
8. Actores que amenazan la seguridad
52
9. Medios de transmisin de ataques a los sistemas de seguridad
61
10. Organismos oficiales de seguridad informtica
63
11. Conclusiones
68
12. Recomendaciones
70
13. Anexos
72
13. Referencias
79
SEGURIDAD INFORMTICA
1. Concepto, principios y Objetivos.
La seguridad informtica o seguridad de tecnologas de la informacin es el rea de la
informtica que se enfoca en la proteccin de la infraestructura computacional y todo lo
relacionado con esta y, especialmente, la informacin contenida o circulante.
Para ello existen una serie de estndares, protocolos, mtodos, reglas, herramientas y leyes
concebidas para minimizar los posibles riesgos. Para poder empezar a analizar la seguridad
debemos conocer los principales objetivos de la seguridad.
Prevencion de
divulgacin no
autorizada de
los datos.
confidencialid
ad
Integridad
Prevencion de
modificaciones
no autorizadas
a los datos.
Prevencion de
interrupciones
no autorizadas
de los recursos
informaticos 5
Disponibilida
d
Cuadro N 1 - Fuente: Elaboracin Propia.
Para poder alcanzar estos objetivos la empresa debe contar con procedimientos de
seguridad de informacin adecuados, formalmente definidos y ampliamente divulgados.
1.1 Concepto.
Existen diferentes definiciones de Seguridad Informtica tales como:
a.
Seguridad informtica surgen como una herramienta organizacional para concientizar

a cada uno de los miembros de una organizacin sobre la importancia y la sensibilidad
de la informacin y servicios crticos que favorecen el desarrollo de la organizacin y
su buen funcionamiento. (Manual de Seguridad en Redes de la Administracin Pblica
Argentina, 2011).
b.
La seguridad informtica puede definirse como el conjunto de reglas, planes y

acciones
que
permiten
asegurar
la
informacin
contenida
en
un
sistema
computacional o la capacidad de mantener intacta y protegida la informacin de

sistemas informticos, permitiendo asegurar que los recursos del sistema de
informacin generalmente (material informtico o programas) de una organizacin
sean utilizados de manera que no sea fcil de acceder por cualquier persona que no
se encuentre acreditada. (Conferencias de Seguridad Informtica, 2012).
c.
La seguridad informtica puede ser definida, bsicamente, como la preservacin de la

confidencialidad, la integridad y la disponibilidad de los sistemas de informacin.
(Departamento de Sistemas y Computacin Instituto Tecnolgico de Morelia, 2010).
d.
Seguridad Informtica: Conjunto de soluciones Tcnicas, Organizativas, Legales y

Educativas al problema, con el fin de minimizar los Riesgos y los Costos (dinero,
tiempo, recursos) que acarrean la prdida, la modificacin y la propagacin no
deseada de informacin de alto valor para su poseedor. (Curso de Seguridad
Informtica de la Entidad Seguridad del Ministerio de Informtica y Comunicaciones
de Cuba, 2012).
De los anterior, se puede extraer que la seguridad Informtica es el conjunto de medidas

(administrativas, organizativas, fsicas, tcnicas legales y educativas) con un enfoque integral
y en sistema, dirigidas a prevenir, detectar y responder a las acciones que pongan en riesgo
la integridad, confidencialidad y disponibilidad, de la informatizacin que se procesa,
intercambie, reproduzca o conserve a travs de las tecnologas informticas.
Cuadro N 2 Fuente:
Seguridad
como encargo
socialWikipedia.
Adems; hay
que tener en
cuenta
el
que
concepto
de seguridad
de
la
informacin
no debe ser confundido con el de seguridad informtica, ya que este ltimo solo se
7
encarga de la seguridad en el medio informtico, pero la informacin puede encontrarse en
diferentes medios o formas, y no solo en medios informticos.
1.2 Principios - Normas.
La seguridad informtica es la disciplina que se ocupa de disear las normas; al establecer
normas que minimicen los riesgos a la informacin o infraestructura informtica se pueden
incluir
horarios de funcionamiento, restricciones a ciertos lugares, autorizaciones,
denegaciones, perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que

permita un buen nivel de seguridad informtica minimizando el impacto en el desempeo de
los trabajadores y de la organizacin en general y como principal contribuyente al uso de
programas.
1.3 Objetivos
Las medidas y controles se aseguran la confidencialidad, integridad, etc; analizando este
aspecto los objetivos son:
Grfico N 3 - Fuente: Seguridad como encargo social- Wikipedia.
a. Confidencialidad: Consiste en la capacidad de garantizar que la informacion

almacenada en el sistema informatico o transmitida por la red, solamente va a estar
disponible para aquellas personas autorizadas a acceder a dicha informacion.
b. Disponibilidad: La definiremos como la capacidad de garantizar que tanto el sistema
como los datos van a estar disponibles al usuario en todo momento.
c. Integridad: Diremos que es la capacidad de garantizar que los datos no han sido
modificados desde su creacion sin autorizacion.
d. No Repudio: Este objetivo garantiza la participacion de las partes en una
comunicacin.
2. Amenazas.
Algunos hechos de importancia dentro de la seguridad informtica son las amenazas al
sistema; partiremos del hecho que, en la mayora de casos, los usuarios de los sistemas son
inconscientes de los riesgos a los que exponen la informacin. A veces por desconocimiento
o desobediencia, los usuarios hacen procedimientos no autorizados peligrosos, y no logran
comprender el impacto del posible dao que pueden causar, es por eso que en esta rea,
debe trabajarse contantemente.
Las directivas, procedimientos y concientizacin
es esencial para estar al tanto de las
amenazas; para que puedan ser aplicadas en cualquier posible escenario y en las distintas
plataformas, marcas o tipos de sistemas que se tengan en la organizacin. A continuacin
veamos la manera de enfrentar las amenazas en las organizaciones.
Las amenazas pueden ser causadas por:
a. Usuarios: causa del mayor problema ligado a la seguridad de un sistema informtico.
En algunos casos sus acciones causan problemas de seguridad, si bien en la mayora
de los casos es porque tienen permisos sobre dimensionados, no se les han
restringido acciones innecesarias, etc.
b. Programas maliciosos: programas destinados a perjudicar o a hacer un uso ilcito de
los recursos del sistema. Es instalado (por inatencin o maldad) en el ordenador,
abriendo una puerta a intrusos o bien modificando los datos.
c. Errores de programacin: La mayora de los errores de programacin que se
pueden considerar como una amenaza informtica es por su condicin de poder ser
usados como exploits por los crackers, aunque se dan casos donde el mal desarrollo
es, en s mismo, una amenaza.
d. Intrusos: persona que consiguen acceder a los datos o programas a los cuales no
estn autorizados.
e. Un siniestro (robo, incendio, inundacin): una mala manipulacin o una mala
intencin derivan a la prdida del material o de los archivos.
10
f. Personal tcnico interno: tcnicos de sistemas, administradores de bases de datos,
tcnicos de desarrollo, etc. Los motivos que se encuentran entre los habituales son:
disputas internas, problemas laborales, despidos, fines lucrativos, espionaje, etc.
g. Fallos electrnicos olgicos: de los sistemas informticos en general.
h. Catstrofes naturales: rayos, terremotos, inundaciones, rayos csmicos, etc.
2.1 Ingeniera Social.
Existen diferentes tipos de ataques en Internet como virus, troyanos u otros, dichos ataques
pueden ser contrarrestados o eliminados pero hay un tipo de ataque, que no afecta
directamente a los ordenadores, sino a sus usuarios, conocidos como el eslabn ms dbil.
Dicho ataque es capaz de conseguir resultados similares a un ataque a travs de la red,
saltndose toda la infraestructura creada para combatir programas maliciosos. Adems, es
un ataque ms eficiente, debido a que es ms complejo de calcular y prever.
Se pueden utilizar infinidad de influencias psicolgicas para lograr que los ataques a un
servidor sean lo ms sencillo posible, ya que el usuario estara inconscientemente dando
autorizacin para que dicha induccin se vea finiquitada hasta el punto de accesos de
administrador.
2.2. Tipos de amenaza.
Existen infinidad de modos de clasificar un ataque y cada ataque puede recibir ms de una
clasificacin.
2.2.1 Amenazas por el origen.
El hecho de conectar una red a un entorno externo nos da la posibilidad de que algn
atacante pueda entrar en ella, con esto, se puede hacer robo de informacin o alterar el
funcionamiento de la red. Sin embargo el hecho de que la red no est conectada a un
entorno externo, como Internet, no nos garantiza la seguridad de la misma. Basado en el
origen del ataque podemos decir que existen dos tipos de amenazas:
11
Amenazas internas
Generalmente
estas amenazas
pueden ser ms
serias que las
externas.
Los usuarios o personal

tcnico, conocen la red
y saben cmo es su
funcionamiento,
ubicacin de la
informacin, etc. Por
ello la seriedad de la
amenaza.
Amenazas externas
Son aquellas amenazas que
se originan fuera de la red. Al
no tener informacin certera
de la red, un atacante tiene
que realizar ciertos pasos
para poder conocer y buscar
la manera de atacarla.
La ventaja que se
tiene en este caso es
que el administrador
de la red puede
prevenir una buena
parte de los ataques
externos.

2.2.2 Amenazas por el efecto.
El tipo de amenazas por el efecto que causan a quien recibe los ataques podra clasificarse
en:
Robo de informacin.
Destruccin de informacin.
Anulacin del funcionamiento de los sistemas o efectos que tiendan a ello.
Suplantacin de la identidad, publicidad de datos personales o confidenciales, cambio
de informacin, venta de datos personales, etc.
2.2.3 Amenazas por el medio utilizado.

Se pueden clasificar por el modus operandi del atacante, si bien el efecto puede ser distinto
para un mismo tipo de ataque. Los virus informticos que tienen por objeto alterar el normal
funcionamiento de la computadora, sin el permiso o el conocimiento del usuario.
12
Los virus, habitualmente, reemplazan archivos ejecutables por otros infectados con el cdigo
de este; se pueden destruir, de manera intencionada, los datos almacenados en una
computadora.
2.3 Amenaza informtica del futuro.
Si en un momento el objetivo de los ataques fue cambiar las plataformas modalidad es
manipular los certificados que contienen la informacin digital.
Las amenazas informticas
que vienen en el futuro ya no son con la inclusin de troyanos en los sistemas o software
espas, sino con el hecho de que los ataques se han profesionalizado y manipulan el
significado del contenido virtual.
Para no ser presa de esta nueva ola de ataques ms sutiles, se recomienda:
Mantener las soluciones activadas y actualizadas.

Evitar realizar operaciones comerciales en computadoras de uso pblico o en redes
abiertas.
Verificar los archivos adjuntos de mensajes sospechosos y evitar su descarga en caso
de duda.
3. GESTIN DE RIESGO EN LA SEGURIDAD INFORMTICA
13
La Gestin de Riesgo es un mtodo para determinar, analizar, valorar y clasificar el riesgo,
para posteriormente implementar mecanismos que permitan controlarlo.
Anlisis
de
riesgo
Control
de
riesgo
Gesti
n de
riesgo
Clasificacin
de riesgo
Reduccin
de riesgo

En su forma general contiene cuatro fases:
Anlisis: Determina los componentes de un sistema que requiere proteccin, sus

vulnerabilidades que lo debilitan y las amenazas que lo ponen en peligro, con el
resultado de revelar su grado de riesgo.
14
Clasificacin: Determina si los riesgos encontrados y los riesgos restantes son

aceptables.
Reduccin: Define e implementa las medidas de proteccin. Adems sensibiliza y

capacita los usuarios conforme a las medidas.
Control: Analiza el funcionamiento, la efectividad y el cumplimiento de las medidas,

para determinar y ajustar las medidas deficientes y sanciona el incumplimiento.
Todo el proceso est basado en las llamadas polticas de seguridad, normas y reglas
institucionales, que forman el marco operativo del proceso, con el propsito de
Potenciar las capacidades institucionales, reduciendo la vulnerabilidad y limitando las

amenazas con el resultado de reducir el riesgo.
Orientar el funcionamiento organizativo y funcional.
Garantizar comportamiento homogneo.
Garantizar correccin de conductas o prcticas que nos hacen vulnerables.
Conducir a la coherencia entre lo que pensamos, decimos y hacemos.
3.1 Anlisis de riesgo

El primer paso en la Gestin de riesgo es el anlisis de riesgo que tiene como propsito
determinar los componentes de un sistema que requieren proteccin, sus vulnerabilidades
que los debilitan y las amenazas que lo ponen en peligro, con el fin de valorar su grado de
riesgo.
15
Clasificacin y Flujo de Informacin:
Identificar tipo
de datos e
informacin y
clasificarlo
Confidencial (acceso restringido:

personal interno autorizado)
Privado (acceso restringido: personal
interno)
Sensitivo (acceso controlado:
personal interno, pblico externo
con permiso)
Pblico
Anlisis de flujo
de informacin
Observar cales instancias manejan

la informacin.
Identificar grupos externos que
dependen o estn interesados en la
informacin.
Determinar si se deben efectuar
cambios en el manejo de la
informacin.

La clasificacin de datos tiene el propsito de garantizar la proteccin de datos personales y
significa definir, dependiendo del tipo o grupo de personas internas y externas, los diferentes
niveles de autorizacin de acceso a los datos e informaciones. Considerando el contexto de
nuestra misin institucional, tenemos que definir los niveles de clasificacin como por
ejemplo: confidencial, privado, sensitivo y pblico. Cada nivel define por lo menos el tipo de
persona que tiene derecho de acceder a los datos, el grado y mecanismo de autenticacin.
Una vez clasificada la informacin, tenemos que verificar los diferentes flujos existentes de
informacin internos y externos, para saber quines tienen acceso a qu tipo de informacin
y datos.
16
Clasificar los datos y analizar el flujo de la informacin a nivel interno y externo es importante,
porque ambas cosas influyen directamente en el resultado del anlisis de riesgo y las
consecuentes medidas de proteccin. Porque solo si sabemos quines tienen acceso a qu
datos y su respectiva clasificacin, podemos determinar el riesgo de los datos, al sufrir un
dao causado por un acceso no autorizado.
Cuadro N 7 - Fuente: Internet.

Existen varios mtodos de como valorar un riesgo y al final, todos tienen los mismos retos las
variables son difciles de precisar y en su mayora son estimaciones y llegan casi a los
mismos resultados y conclusiones.
En el mbito de la Seguridad Informtica, el mtodo ms usado es el Anlisis de Riesgo. La
valoracin del riesgo basada en la frmula matemtica:
Riesgo = Probabilidad de Amenaza x Magnitud de Dao
17
Para la presentacin del resultado (riesgo) se usa una grfica de dos dimensiones, en la
cual, el eje-x (horizontal, abscisa) representa la Probabilidad de Amenaza y el eje-y
(vertical, ordenada) la Magnitud de Dao. La Probabilidad de Amenaza y Magnitud de Dao
pueden tomar condiciones entre Insignificante (1) y Alta (4). En la prctica no es necesario
asociar valores aritmticos a las condiciones de las variables, sin embargo facilita el uso de
herramientas tcnicas como hojas de clculo.
El reto en la aplicacin del mtodo es precisar o estimar las condiciones (valores) de las dos
variables. Sin embargo, el anlisis de riesgo nos permite ubicar el riesgo y conocer los
factores que influyen, negativa o positivamente en el riesgo.
En el proceso de analizar un riesgo tambin es importante reconocer que cada riesgo tiene
sus caractersticas:
Dinmico y cambiante (Interaccin de Amenazas y Vulnerabilidad)
Diferenciado y tiene diferentes caracteres (caracteres de Vulnerabilidad)
No siempre es percibido de igual manera entre los miembros de una institucin que tal
vez puede terminar en resultados inadecuados y por tanto es importante que
participan las personas especialistas de los diferentes elementos del sistema
(Coordinacin, Administracin financiera, Tcnicos, Conserje, Soporte tcnico externo
etc.)
Entre ms alta la Probabilidad de Amenaza y Magnitud de Dao, ms grande es el riesgo y el

peligro al sistema, lo que significa que es necesario implementar medidas de proteccin.
CMO VALORAR LA PROBALIDAD DE AMENAZA?
Probabilidad de
Amenaza
18
Consideraciones
Inters o la atraccin por parte de

individuos externos.
Nivel de vulnerabilidad
Frecuencia en que ocurren los
incidentes.
Valoracin de
probabilidad de
amenaza
BAJA: existen condiciones que
hacen muy lejana la posibilidad
del
ataque. existen condiciones
MEDIANA:
que hacen poco probable un
ataque en corto plazo, pero no
son suficientes para evitarlo en el
largo
ALTA:plazo.
ataque es inminente. No
existen condiciones internas y
externas que impidan el desarrollo
del ataque.

Se habla de un Ataque, cuando una amenaza se convirti en realidad, es decir cuando un
evento se realiz. Pero el ataque no dice nada sobre el xito del evento es as que los datos
e informaciones fueron perjudicado respecto a su confidencialidad, integridad, disponibilidad
y autenticidad.
Para estimar la Probabilidad de Amenaza nos podemos hacer algunas preguntas:
Cul es el inters o la atraccin por parte de individuos externos, de

atacarnos?
Algunas razones pueden ser que manejamos informacin que contiene novedades o
inventos, informacin comprometedora, etc. Talvez tenemos competidores en el
trabajo, negocio o simplemente por la imagen o posicin pblica que tenemos.
Cules son nuestras vulnerabilidades?

Es importante considerar todos los grupos de vulnerabilidades. Tambin se
recomienda incluir los expertos, especialistas de las diferentes reas de trabajo para
19
obtener una imagen ms completa y ms detallada sobre la situacin interna y el
entorno.
Cuntas veces ya han tratado de atacarnos?

Ataques pasados nos sirven para identificar una amenaza y si su ocurrencia es
frecuente, ms grande es la probabilidad que pasar otra vez. En el caso de que ya
tenemos implementadas medidas de proteccin es importante llevar un registro, que
muestra los casos cuando la medida se aplic exitosamente y cundo no.
Magnitud del
dao
CUNDO HABLAMOS DE UN IMPACTO?
20
Se pierde la
informacin
Terceros
tienen
acceso a la
informacin
Cambio de
legitimidad
de la fuente
de
informacin
.
La
informacin
ha sido
manipulada
o est
incompleta

Se habla de un Impacto, cuando un ataque exitoso perjudic la confidencialidad, integridad,
disponibilidad y autenticidad de los datos e informaciones.
CMO VALORAR LA MAGNITUD DE DAO?
Consideraciones sobre las

consecuencias de un
impacto
Quin sufrir el dao?

Incumplimiento de
confidencialidad (interna y
externa)
Incumplimiento de obligaciones
jurdicas, contratos, convenios.
Valoracin de magnitud
del dao
BAJA: dao aislado, no perjudica
los
componentes
de
la
organizacin.
MEDIANA:
provoca
la
desarticulacin de un componente
de la organizacin. A largo plazo
puede provocar desarticulacin de
la organizacin.
ALTA: En corto plazo: desmoviliza
o desarticula a la organizacin.
21
Estimar la Magnitud de Dao generalmente es una tarea muy compleja. La manera ms fcil
es expresar el dao de manera cualitativa, lo que significa que aparte del dao econmico,
tambin se considera otros valores como daos materiales, imagen, emocionales, entre
otros. Expresarlo de manera cuantitativa, es decir calcular todos los componentes en un solo
dao econmico, resulta en un ejercicio an ms complejo y extenso.
Aunque conozcamos bien el impacto de un ataque exitoso, sus consecuencias pueden ser
mltiples, a veces son imprevisibles y dependen mucho del contexto donde manejamos la
informacin, sea en una ONG (derechos humanos, centro de informacin etc.), en una
empresa privada (banco, clnica, produccin etc.), en una institucin Estatal o en el mbito
privado. Otro factor decisivo, respecto a las consecuencias, es tambin el entorno donde nos
ubicamos, es decir cules son las Leyes y prcticas comunes, culturales que se aplica para
sancionar el incumplimiento de las normas.
Un punto muy esencial en el anlisis de las consecuencias es la diferenciacin entre los dos
propsitos de proteccin de la Seguridad Informtica, la Seguridad de la Informacin y la
Proteccin de datos, porque nos permite determinar, quien va a sufrir el dao de un impacto,
nosotros, otros o ambos. En todo caso, todos nuestros comportamientos y decisiones deben
ser dirigidos por una conciencia responsable, de no causar dao a otros, aunque su realidad
no tenga consecuencias negativas.
Otras preguntas que podemos hacernos para identificar posibles consecuencias negativas
causadas por un impacto son:
Existen condiciones de incumplimiento de confidencialidad interna y externa?

Esto normalmente es el caso cuando personas no autorizadas tienen acceso a
informacin y conocimiento ajeno que pondr en peligro nuestra misin.
22
Existen condiciones de incumplimiento de obligacin jurdicas, contratos y

convenios?
No cumplir con las normas legales fcilmente puede culminar en sanciones penales o
econmicas, que perjudican nuestra misin, existencia laboral y personal.
Cul es el costo de recuperacin?

No solo hay que considerar los recursos econmicos, tiempo, materiales, sino tambin
el posible dao de la imagen pblica y emocional.
Considerando todos los aspectos mencionados, nos permite clasificar la Magnitud del Dao.
Matriz para el Anlisis de Riesgo
La Matriz para el Anlisis de Riesgo, es producto del proyecto de Seguimiento al Taller
Centroamericano Ampliando la Libertad de Expresin: Herramientas para la colaboracin,
informacin y comunicacin segura y fue punto clave en analizar y determinar los riesgos en
el manejo de los datos e informacin de las organizaciones sociales participantes. La Matriz,
basada en una hoja de clculo, no dar un resultado detallado sobre los riesgos y peligros de
cada recurso (elemento de informacin) de la institucin, sino una mirada aproximada y
generalizada de estos.
Hay que tomar en cuenta que el anlisis de riesgo detallado, es un trabajo muy extenso y
consumidor de tiempo, porque requiere que se compruebe todos los posibles daos de cada
recurso de una institucin contra todas las posibles amenazas, es decir terminaramos con
un sinnmero de grafos de riesgo que deberamos analizar y clasificar. Por otro lado, hay que
reconocer que la mayora de las organizaciones sociales centroamericanas (el grupo meta
del proyecto), ni cuentan con personal tcnico especfico para los equipos de computacin, ni
con recursos econmicos o mucho tiempo para dedicarse o preocuparse por la seguridad de
23
la informacin que manejan y en muchas ocasiones tampoco por la formacin adecuada de
sus funcionarios en el manejo de las herramientas informticas.
Entonces lo que se pretende con el enfoque de la Matriz es localizar y visualizar los recursos
de una organizacin, que estn ms en peligro de sufrir un dao por algn impacto negativo,
para posteriormente ser capaz de tomar las decisiones y medidas adecuadas para la
superacin de las vulnerabilidades y la reduccin de las amenazas.
Fundamento de la Matriz
La Matriz se basa en el mtodo de Anlisis de Riesgo con un grafo de riesgo, usando la
frmula: Riesgo = Probabilidad de Amenaza x Magnitud de Dao
La Probabilidad de Amenaza y Magnitud de Dao pueden tomar los valores y condiciones
respectivamente
1 = Insignificante
2 = Baja
3 = Mediana
4 = Alta
24
El Riesgo, que es el producto de la multiplicacin Probabilidad de Amenaza por Magnitud de

Dao, est agrupado en tres rangos, y para su mejor visualizacin, se aplica diferentes
colores.
Bajo Riesgo = 1 6 (verde)
Medio Riesgo = 8 9 (amarillo)
Alto Riesgo = 12 16 (rojo)
Uso de la Matriz
La Matriz contiene una coleccin de diferentes Amenazas (campos verdes) y Elementos de
informacin (campos rojos). Para llenar la Matriz, tenemos que estimar los valores de la
25
Probabilidad de Amenaza (campos azules) por cada Amenaza y la Magnitud de Dao
(campos amarillos) por cada Elemento de Informacin.

Para la estimacin de la Probabilidad de amenazas, se trabaja con un valor generalizado,
que solamente est relacionado con el recurso ms vulnerable de los elementos de
informacin, sin embargo usado para todos los elementos. Si por ejemplo existe una gran
probabilidad de que nos puedan robar documentos y equipos en la oficina, porque ya
entraron varias veces y no contamos todava con una buena vigilancia nocturna de la oficina,
no se distingue en este momento entre la probabilidad si robarn una porttil, que est en la
oficina (con gran probabilidad se van a llevarla), o si robarn un documento que est
encerrado en una caja fuerte escondido (es menos probable que se van a llevar este
documento).
Este proceder obviamente introduce algunos resultados falsos respecto al grado de riesgo
(algunos riesgos saldrn demasiado altos), algo que posteriormente tendremos que
corregirlo. Sin embargo, excluir algunos resultados falsos todava es mucho ms rpido y
26
barato, que hacer un anlisis de riesgo detallado, sobre todo cuando el enfoque solo es
combatir los riesgos ms graves.
En el caso de que se determine los valores para la Probabilidad de Amenaza y Magnitud de
Dao a travs de un proceso participativo de trabajo en grupo (grande), se recomienda
primero llenar las fichas de apoyo para los Elementos de Informacin y Probabilidad de
Amenaza, y una vez consolidado los datos, llenar la matriz.
Dependiendo de los valores de la Probabilidad de Amenaza y la Magnitud de Dao, la Matriz
calcula el producto de ambos variables y visualiza el grado de riesgo.
Dependiendo del color de cada celda, podemos sacar conclusiones no solo sobre el nivel de
riesgo que corre cada elemento de informacin de sufrir un dao significativo, causado por
una amenaza, sino tambin sobre las medidas de proteccin necesarias
Proteger los datos de RR.HH, Finanzas contra virus

27
Proteger los datos de Finanzas y el Coordinador contra robo
Evitar que se compartan las contraseas de los porttiles
3.2 Clasificacin de Riesgo

El objetivo de la clasificacin de riesgo es determinar hasta qu grado es factible combatir los
riesgos encontrados. La factibilidad normalmente depende de la voluntad y posibilidad
econmica de una institucin, sino tambin del entorno donde nos ubicamos. Los riesgos que
no queremos o podemos combatir se llaman riesgos restantes y no hay otra solucin que
aceptarlos.
Cuadro N
14 - Fuente: Internet.
Implementar medidas para la reduccin de los riesgos significa realizar inversiones, en
general econmicas. El reto en definir las medidas de proteccin, entonces est en encontrar
28
un buen equilibrio entre su funcionalidad (cumplir con su objetivo) y el esfuerzo econmico
que tenemos que hacer para la implementacin y el manejo de estas.
De igual manera como debemos evitar la escasez de proteccin, porque nos deja en peligro
que pueda causar dao, el exceso de medidas y procesos de proteccin, pueden fcilmente
paralizar los procesos operativos e impedir el cumplimiento de nuestra misin. El caso
extremo respecto al exceso de medidas sera, cuando las inversiones para ellas, superen el
valor del recurso que pretenden proteger.

Con el Riesgo restante se entiende dos circunstancias, por un lado son estas amenazas y
peligros que, aunque tenemos implementados medidas para evitar o mitigar sus daos,
siempre nos pueden afectar, si el ataque ocurre con una magnitud superior a lo esperado.
Podemos protegernos de cierto modo contra los impactos de un terremoto comn, sin
29
embargo cuando ocurre con una fuerza superior o antes no conocido, el impacto general
ser mucho ms grande y muy probablemente afectar tambin a nosotros.
La otra situacin es cuando aceptamos conscientemente los posibles impactos y sus
consecuencias, despus de haber realizado el anlisis de riesgo y la definicin de las
medidas de proteccin. Las razones para tomar esta decisin pueden ser varias, sea que
evitar los daos no est dentro de nuestra posibilidad y voluntad econmica o porque no
entendemos que no tenemos suficiente poder sobre el entorno. Sea lo que sea la razn, el
punto importante es que sabemos sobre la amenaza y decidimos vivir con ella y su posible
consecuencia.
3.3 Reduccin de Riesgo
La reduccin de riesgo se logra a travs de la implementacin de Medidas de proteccin, que
basen en los resultados del anlisis y de la clasificacin de riesgo.
30

Las medidas de proteccin estn divididas en medidas fsicas y tcnicas, personales y
organizativas.
En referencia al Anlisis de riesgo, el propsito de las medidas de proteccin, en el mbito de
la Seguridad Informtica, solo tienen un efecto sobre los componentes de la Probabilidad de
Amenaza, es decir aumentan nuestra capacidad fsica, tcnica, personal y organizativa,
reduciendo as nuestras vulnerabilidades que estn expuestas a las amenazas que
enfrentamos. Las medidas normalmente no tienen ningn efecto sobre la Magnitud de Dao,
que depende de los Elementos de Informacin y del contexto, entorno donde nos ubicamos.
Es decir, no se trata y muy difcilmente se puede cambiar el valor o la importancia que tienen
los datos e informaciones para nosotros, tampoco vamos a cambiar el contexto, ni el entorno
de nuestra misin.
31

La fuerza y el alcance de las medidas de proteccin, dependen del nivel de riesgo
Alto riesgo: Medidas deben evitar el impacto y dao.
Medio riesgo: Medidas solo mitigan la magnitud de dao pero no evitan el impacto.
Considerando que la implementacin de medidas de proteccin estn en directa relacin con

inversiones de recursos econmicos y procesos operativos, es ms que obvio, que las
medidas, para evitar un dao, resultarn (mucho) ms costosas y complejas, que las que
solo mitigan un dao.
Para que las medias sean exitosas, es esencial que siempre verificamos su factibilidad, es
decir que tcnicamente funcionan y cumplen su propsito, que estn incorporadas en los
32
procesos operativos institucionales y que las personas se apropian de ests. Es
indispensable que estn respaldadas, aprobadas por aplicadas por la coordinacin, porque si
no, pierden su credibilidad. Tambin significa que deben ser diseadas de tal manera, que no
paralizan u obstaculizan los procesos operativos porque deben apoyar el cumplimiento de
nuestra misin, no impedirlo.
Otro punto clave es, que las personas que deben aplicar y apropiarse de las medias saben
sobre su existencia, propsito e importancia y son capacitadas adecuadamente en su uso, de
tal manera, que las ven como una necesidad institucional y no como otra cortapisa laboral.
Debido a que la implementacin de las medidas no es una tarea aislada, nica, sino un
proceso continuo, su manejo y mantenimiento debe estar integrado en el funcionamiento
operativo institucional, respaldado por normas y reglas que regulan su aplicacin, control y
las sanciones en caso de incumplimiento.
El propsito del control de riesgo es analizar el funcionamiento, la efectividad y el
cumplimiento de las medidas de proteccin, para determinar y ajustar sus deficiencias.
Las actividades del proceso, tienen que estar integradas en el plan operativo institucional,
donde se define los momentos de las intervenciones y los responsables de ejecucin.
Medir el cumplimiento y la efectividad de las medidas de proteccin requiere que levantemos
constantemente registros sobre la ejecucin de las actividades, los eventos de ataques y sus
respectivos resultados. Estos tenemos que analizados frecuentemente. Dependiendo de la
gravedad, el incumplimiento y el sobrepasar de las normas y reglas, requieren sanciones
institucionales para los funcionarios.
En el proceso continuo de la Gestin de riesgo, las conclusiones que salen como resultado
del control de riesgo, nos sirven como fuente de informacin, cuando se entra otra vez en el
proceso de la Anlisis de riesgo.
33
5. Anlisis de impacto al negocio
El reto es asignar estratgicamente los recursos para cada equipo de seguridad y bienes que
intervengan, basndose en el impacto potencial para el negocio, respecto a los diversos
incidentes que se deben resolver.
Para determinar el establecimiento de prioridades, el sistema de gestin de incidentes
necesita saber el valor de los sistemas de informacin que pueden ser potencialmente
afectados por incidentes de seguridad. Esto puede implicar que alguien dentro de la
organizacin asigne un valor monetario a cada equipo y un archivo en la red o asignar un
valor relativo a cada sistema y la informacin sobre ella. Dentro de los valores para el
sistema se pueden distinguir: confidencialidad de la informacin, la integridad (aplicaciones e
informacin) y finalmente la disponibilidad del sistema. Cada uno de estos valores es un
sistema independiente del negocio, supongamos el siguiente ejemplo, un servidor web
pblico pueden poseer la caracterstica de confidencialidad baja (ya que toda la informacin
es pblica) pero necesita alta disponibilidad e integridad, para poder ser confiable. En
contraste, un sistema de planificacin de recursos empresariales (ERP) es, habitualmente,
un sistema que posee alto puntaje en las tres variables.
Los incidentes individuales pueden variar ampliamente en trminos de alcance e importancia.
6. Puesta en marcha de una poltica de seguridad
Actualmente las legislaciones nacionales de los Estados, obligan a las empresas,
instituciones pblicas a implantar una poltica de seguridad. Por ejemplo, en Espaa, la Ley
Orgnica de Proteccin de Datos de carcter personal o tambin llamada LOPD y su
normativa de desarrollo, protege ese tipo de datos estipulando medidas bsicas y
necesidades que impidan la prdida de calidad de la informacin o su robo. Tambin en ese
pas, el Esquema Nacional de Seguridad establece medidas tecnolgicas para permitir que
los sistemas informticos que prestan servicios a los ciudadanos cumplan con unos
requerimientos de seguridad acordes al tipo de disponibilidad de los servicios que se prestan.
34
Generalmente se ocupa exclusivamente a asegurar los derechos de acceso a los datos y
recursos con las herramientas de control y mecanismos de identificacin. Estos mecanismos
permiten saber que los operadores tienen slo los permisos que se les dio.
La seguridad informtica debe ser estudiada para que no impida el trabajo de los operadores
en lo que les es necesario y que puedan utilizar el sistema informtico con toda confianza.
Por eso en lo referente a elaborar una poltica de seguridad, conviene:
Elaborar reglas y procedimientos para cada servicio de la organizacin.
Definir las acciones a emprender y elegir las personas a contactar en caso de detectar
una posible intrusin
Sensibilizar a los operadores con los problemas ligados con la seguridad de los
sistemas informticos.
Los derechos de acceso de los operadores deben ser definidos por los responsables
jerrquicos y no por los administradores informticos, los cuales tienen que conseguir que los
recursos y derechos de acceso sean coherentes con la poltica de seguridad definida.
Adems, como el administrador suele ser el nico en conocer perfectamente el sistema, tiene
que derivar a la directiva cualquier problema e informacin relevante sobre la seguridad, y
eventualmente aconsejar estrategias a poner en marcha, as como ser el punto de entrada
de la comunicacin a los trabajadores sobre problemas y recomendaciones en trmino de
seguridad informtica.
6. Procedimiento, Mecanismo y Tcnicas para asegurar el sistema
Mecanismos Bsicos
6.1
entre Procedimiento, Mecanismo y Tcnicas para asegurar el sistema
de Relacin
Seguridad
-
Autenticacin
Autorizacin.
Administracin.
Auditoria y
registracin.
35
TCNICAS DE SEGURIDAD
Se llevan a
cabo a travs:
Depende
n de la
tecnolog
a que se
Procedimientos de seguridad de informacin

De acuerdo con el esquema se deduce que a medida que las nuevas tecnologas permiten el
uso de herramientas ms complejas, es necesario que se desarrolle nuevas tcnicas y
procedimientos que nos ayuden a controlar nuestros datos.
A. Procedimiento de seguridad
Un procedimiento de seguridad determina las acciones o tareas a realizar en el
desempeo de un proceso relacionado con la seguridad y las personas o
grupos responsables de su ejecucin. Un procedimiento debe ser claro, sencillo
de interpretar y no ambiguo en su ejecucin.

El desarrollo de los procedimientos se llevara a cabo en base de las polticas y
de un anlisis de riesgo formal.
1. Polticas de seguridad
Las polticas de seguridad son esencialmente orientaciones e instrucciones que
indican cmo manejar los asuntos de seguridad y forman la base de un plan maestro
36
para la implantacin efectiva de medidas de proteccin tales como: identificacin y
control de acceso, respaldo de datos, planes de contingencia y deteccin de intrusos.
La empresa debe contar con un documento formalmente elaborado sobre el tema, el
cual obligatoriamente ser divulgado entre todos los funcionarios. Las cuales deben
ser revisadas, actualizadas peridicamente.
Las polticas deben comprender:
La definicin de los objetivos
principales y su importancia dentro de la
empresa.
Mostrar compromiso de la alta gerencia con la mima filosofa respecto al
acceso de datos.
Establecer la base para poder disear normas y procedimientos referidos a:
Organizacin de la seguridad.
Clasificacin y control de datos.
Seguridad de las personas
Seguridad fsica y ambiental.
Plan de contingencia.
Proteccin y deteccin de virus.
Administracin de los
computadores.
A partir de las polticas podemos a comenzar a desarrollar primero las normas,
y luego los procedimientos de seguridad que sern la gua para la realizacin de
actividades.
Polticas de seguridad
Procedimientos y normas de
seguridad
37
Consisten
genricas.
de
declaraciones Hacen referencia especfica a

tecnologas,
metodologas,
procedimientos de implementacin y
otros aspectos en detalle.
Deberan durar durante muchos aos Duran menos tiempo.
Son ms estables.
Necesitan ser actualizadas ms a
menudo.
Una declaracin sobre polticas Maneja un problema especfico a
describe slo la forma general de detalle o en forma extensa.
manejar un problema especfico.
2. Seguridad lgica:
Son los procedimientos existentes para controlar el acceso lgico no autorizado a
la informacin, ya sea que se realice mientras esta se encuentra almacenada o
durante la transmisin.
-
Control de acceso interno: determinan lo que un usuario o grupo de usuarios

puede o no hacer con los recursos de la empresa. Se aplican las siguientes
tcnicas:
...
* Passwords
* Encriptacin
* Etiquetas de seguridad
* Lista de control de acceso

-
Control de acceso externo: son una proteccin contra la interaccin de nuestro

sistema con los sistemas, servicios y gente externa se emplean las siguientes
tcnicas:
38
...
* Firewalls o puertas de
seguridad
* Dispositivos de control de
puertas

3. Seguridad Organizacional:
Son los procedimientos existentes para controlar que efectos ambientales
podran perjudiquen el procedimiento, los equipamientos y el personal ejm: los
protectores de pico de tensin elctrica.
-
Recuperacin de desastres: pueden ser naturales y causados por el hombre.

Causados por el
hombre
Explosiones
Incendios
Generados por la
naturaleza
Sismos
Inundaciones
Maremotos
Volcanes

-
Acciones hostiles: los sistemas de Tecnologas de Informacin (TI) son

vulnerables a una serie de amenazas que puede ocasionar daos que resulten en
prdidas significativas, los cuales pueden ser alterar la base de datos o provocar
un incendio que destruya todo la data.
Robo y fraude, espionaje, sabotaje, hackers y cdigos maliciosos
4. Seguridad fsica:
39
Son los procedimientos existentes para controlar el acceso fsico al

equipamiento informtico.
Controles de seguridad fsica y entorno ISO 17799.

El ISO 17799 ofrece un marco de seguridad en la organizacin y ofrece
mecanismos para administrar los procesos de seguridad. Proporciona los
siguientes beneficios:
Una metodologa estructurada reconocida

intencionalmente.
Un proceso definido para evaluar, mantener y
administrar seguridad informtica.
Certificacin que permite a una entidad demostrar
su status

Contiene 10 controles de seguridad, y entre ellos hay controles de seguridad fsica.
Dichos controles manejan riesgos inherentes a las Instalaciones de la entidad los
cuales incluyen:
40
41
hardware y el cableado.
medios de almacenamiento. Se establece en la zona donde se encuentra el
su ejecucin.
Control de acceso fsico; restringen el ingreso y salida del personal, equipos o
se encuentran los recursos del sistema y los elementos adicionales que permiten
Controles de seguridad fsica y entorno NIST
Segn NIST, los controles se implementan para proteger los ambientes en que

Transpor
te de
bienes
Mecanismos para el ingreso y salidad de bienes a

traves del perimetro de seguridad.
Generale
s
Politicas y estandares como utilizacion de equipos de

destruccion de documentos , seguridad operacional
en el espacio de trabajo.
Equipamie
nto
Equipos ubicados en zonas que aseguren su

integridad y disponibilidad.
Control
de
acceso
Contar con controles de ingreso y salida
Estar claramanete definido y en

buen estado.
Segurida
d del
premetro
fsico
Lugar
Analisis de las intalaciones de la empresa
Fallas de servicios accesorios; se requiere un ambiente de trabajo razonable
bajo control con equipos de servicio accesorio (aire acondicionado, si fallan pueden
daar el hardware).
Sistemas mviles y porttiles
Fornsica
Son empleadas en caso de delito informtico, el forense tratara de identificar
hasta qu punto rompi la seguridad el hacker, tambin se puede utilizar este
procedimiento cuando se quiera determinar el uso excesivo del internet por los
usuarios de la empresa.
Tiene los siguientes pasos para recoger la evidencia:
Asegurar
el rea
fsica
Desactivar
el sistema
Conectar un
medio de
almacenami
ento.
Copiar
informaci
n
Asegurar
el sistema
Preparar el
sistema
Preparar el
sistema
para la
recolecci
n
Examinar
el sistema
Asegurar
la
evidencia
Examinar
evidencia

B. Mecanismo de seguridad
Los mecanismos bsicos de seguridad no toman en cuenta el tipo de tecnologa que
se utilizada, los cuales son llevados a cabo por medio del uso de tcnicas de
seguridad.
Clasificacin de los mecanismos de seguridad
42
Los mecanismos de seguridad se dividen en 4 grandes grupos:
Mecanismos de prevencin
Mecanismo de deteccin
Mecanismo de recuperacin
Mecanismo de auditora.
1. Mecanismos de prevencin
Garantizan la seguridad del sistema durante su uso habitual.
Los disquetes, CD-ROMs, y otros medios removibles que entran y salen de
nuestro sistema debern ser tenidos en cuenta, as como los medios no
electrnicos como impresos, faxes, teletipos, pantallas, con que las personas tratan
la informacin. Para todos ellos las soluciones sern fundamentalmente
organizativas. Se pueden mencionar las siguientes:
a. Autentificacin
43
Es el proceso de identificar un usuario, mquina u organizacin de modo preciso.
se
pueden
usar
Fir
m
m
a
dig
ita Bi
o
l
m
m
Voz,
escritura
, huellas,
patrones
oculares,
mano.
que
para
autenticar:
Tarjeta
T
arjeta
s
Intelig
entes
(Smar
tecnologas
(Smar
Con
t card) tras
ea
s
muchas
etr Ce
a rti
fic
ad
os
Existen

44
Cuadro N 30 - Fuente: WIKIPEDIA.
Clasificacin de autenticacin
La autentificacin tradicional (UNIX, NT...) garantiza que las contraseas
se mantienen en secreto, pero utilizan sistemas de encriptacin muy
simples.
Una tecnologa consolidada y en auge es Kerberos, un protocolo de
autentificacin distribuida con cualidades de identificacin nica (Single
Sign-On) que permite establecer privacidad e integridad de los datos,
utilizando mecanismos de clave pblica, mucho ms seguros que la
autentificacin tradicional.
45
b. Autorizacin
Es el proceso de determinar lo que un elemento autenticado puede hacer.
Ejemplos son las listas de control de acceso o la seguridad del sistema de archivos
(NTFS, por ejemplo), que asocian los usuarios autenticados a perfiles de acceso a
aplicaciones, ficheros, equipos, etc. Mediante este proceso se determinan los
privilegios de un usuario (u otro elemento autenticado) en un sistema.
c. Disponibilidad
Consiste en proteger los sistemas para mantenerlos en funcionamiento el mayor
tiempo posible. Ya hemos hablado de la proteccin fsica. Existen sistemas que
nos permiten aumentar la disponibilidad del software con sistemas de particionado
lgico de mquinas fsicas, tecnologas cluster, tanto de discos como de red.
d. Mantenimiento de la integridad de informacin
Consiste en asegurar que la informacin no se ha transformado durante su
procesamiento, transporte o almacenamiento. Es decir que los archivos
permanezcan sin sufrir cambios no autorizados y que la informacin enviada desde
un punto llegue a su destino inalterada.
2. Mecanismos de deteccin
Un grupo de tecnologas se encargan de detectar intentos de ataques o ataques
propiamente dichos. Aportan unas ciertas medidas de monitorizacin y deteccin
de actividad sospechosa, que pueden ser ms o menos inteligente.
a. Los cortafuegos (firewalls):
Los cortafuegos pueden ser implementados en hardware o software, o una
combinacin de ambos. Los cortafuegos se utilizan con frecuencia para evitar que
46
los usuarios de Internet no autorizados tengan acceso a redes privadas
conectadas a Internet, especialmente intranets.
b. Los anlisis de riesgos

Estas se encargan de detectar problemas de seguridad en nuestros sistemas. Los
hay de muchos tipos:
-
Los analizadores de vulnerabilidades: Son herramientas que realizan un

barrido en nuestros sistemas comprobando agujeros de seguridad conocidos en
el sistema.
Los scanner de puertos: son herramientas que se encargan de advertir de
todos los servicios que nuestro sistema est ofertando a la red ya que en muchas
ocasiones son ms de los necesarios.

Herramientas que hacen una foto del sistema en su origen, y que permiten
comprobar que todo sigue igual con el paso del tiempo, y no se han producido
modificaciones al software bsico. Estas fotos se basan en algoritmos hash
sobre los archivos clave del sistema.

Herramientas que actan sobre las contraseas del sistema. Se encargan de
detectar la vulnerabilidad de estas contraseas.
Otro tipo de tecnologas se encarga de los fallos hardware, la monitorizacin, las
alertas, acciones ante fallos, etc.
Todo un abanico de herramientas de gestin de infraestructuras que permiten
detectar fallos, en muchas ocasiones, antes de que produzcan daos al sistema. Y
no solo fallos, tambin se encargan de detectar los niveles de saturacin de los
elementos crticos antes de que se produzcan problemas en el servicio.
47
Por ltimo un elemento imprescindible de deteccin en una red es el antivirus.
Programa, o conjunto de programas, encargados de mantener un ordenador y/o
una red libres de virus. Se debern colocar antivirus en todos los puntos de
entrada/salida de informacin de nuestro sistema.
3. De recuperacin
Nos permiten recuperar el estado habitual del sistema tras un fallo o ataque.
Fundamentalmente son herramientas basadas en las copias de seguridad.
4. De auditora
Nos permiten determinar las causas de los problemas antes, durante y despus de
que suceda. Fundamentalmente son registros de los sucesos que se van
produciendo en el sistema: usuarios que entran, acciones que realizan, tiempos en
los que se hacen las cosas
C. Tcnicas de seguridad de informacin
Entre las tcnicas ms consolidadas encontramos las copias de respaldo, los
antivirus, los cortafuegos, los mecanismos de autenticacin y la criptografa.
48
Se encaminan a garantizar la disponibilidad de
los sistemas frente a cualquier eventualidad.
Respaldo
de
informaci
n
Los
antivirus
Control del software instalado.

Control de red.
Los
cortafuego
s
Tratan de reducir el nmero de vas potenciales

de acceso a los sistemas corporativos desde el
exterior, estableciendo limitaciones al nmero de
equipos y de servicios visibles.
Mecanismos
de
Autenticaci
n y la
incriptacin
Pueden ser esquemas simples o complejas.

1. Respaldo de informacin
Un buen sistema de respaldo
debe
contar
con
ciertas
caractersticas
indispensables:
Continuo
El respaldo de datos debe ser completamente automtico y continuo. Debe
funcionar de forma transparente, sin intervenir en las tareas que se
encuentra realizando el usuario.
Seguro
49
Muchos softwares de respaldo incluyen cifrado de datos (128-448 bits), lo
cual debe ser hecho localmente en el equipo antes del envo de la
informacin.
Los datos deben quedar alojados en dependencias alejadas de la empresa.
Mantencin de versiones anteriores de los datos
Se debe contar con un sistema que permita la recuperacin de versiones
diarias, semanales y mensuales de los datos.
2. Tcnicas en los mecanismos de autenticacin.
Estos mecanismos pueden variar desde esquemas simples basados en los pares
usuario
contrasea,
credenciales
hasta
sistemas
complejos
de
sistemas
autenticacin
distribuidos
biomtricos
basados
basados
en
en
el
reconocimiento mecanizado de caractersticas fsicas de las personas.
Security tokens o ID card

La autenticacin es realizada a travs de una contrasea que cuenta con dos
componentes:
Fijo (un PIN de usuario)

Variable, es generado por securitytoken, una pequea tarjeta con un display.
El cual genera una nueva contrasea cada 60 segundos. Estas contraseas son
generadas en sincronismo con el servidor.
A cada usuario se le asigna un PIN y se le entrega un securitytoken. As cada vez
que intente ingresar al sistema deber digitar su PIN y la contrasea generada por
su token.
Reconocimiento biomtrico
50
Las tcnicas biomtricas presentan procesos de verificacin basados en
caractersticas fsicas (cara, huella digitales) o de comportamiento (registro vocal,
firma a mano alzada).
Estas caractersticas son capturadas e ingresadas al sistema, asociadas a cada
usuario respectivo. Luego en el momento de la verificacin, la autenticacin se
produce por la comparacin del patrn almacenado y registro realizado por el
usuario que requiere el acceso.
Tcnica
Ventaja
desventajas
Fcil,
La
iluminacin
Reconocimie
rpido
y puede
alterar
la
nto de cara.
econmico.
autenticacin.
Pueden
haber
Econmi
La lectura de
replicas,
cortes
o
co y muy
huella digital.
lastimaduras que alteren
seguro.
la autenticacin.
Lectura
iris/retina.
de
Muy
seguro.
Lectura de la
palma de la mano. co
Econmi
Intrusivo
(molesto
para el usuario).
Puede ser alterado

por el estado emocional
de la persona.
Lento, puede ser
til para
Reconocimie
alterado por el estado
acceso
nto de la voz.
emocional de la persona,
remoto.
fcilmente. reproducible.
51
3. Tcnicas en los mecanismos de integridad
Dentro de las tcnicas ms utilizadas para mantener o controlar la integridad de los
datos, podemos citar:
Antivirus
Encriptacin
Funciones
hash

a. Proteccin contra virus
Es una aplicacin orientada a prevenir, detectar y eliminar programas
maliciosos denominados virus, los cuales actan daando un sistema
informtico con diversas tcnicas.
i. Control del software instalado
Pretenden evitar la aparicin de lgica maliciosa y en caso de infeccin
tratan de eliminarla de los sistemas.
Software Antivirus: Consiste en un programa que se debe instalar en su
ordenador. Protege su sistema permanentemente, si algn virus intenta
introducirse en su ordenador el antivirus lo detecta.
ii. Control de la red
Entre los antivirus conviene destacar aquellos que inspeccionan los
correos electrnicos evitando la infeccin de sus destinatarios. Son los
siguientes:
Cortafuegos (firewall):
52
Programa que funciona como muro de defensa, bloqueando el acceso a
un sistema en particular. Se utilizan principalmente en computadoras con
conexin a una red, fundamentalmente internet. El programa controla
todo el trfico de entrada y salida, bloqueando cualquier actividad
sospechosa e informando adecuadamente de cada suceso.
Antiespias(antispyware):
aplicacin que busca, detecta y elimina programas espas (spyware) que
se
instalan
ocultamente
en
el
ordenador.
Antipop-ups:
utilidad que se encarga de detectar y evitar que se ejecuten las ventanas

pop-ups cuando navegas por la red. Muchas veces los pop-ups apuntan
a contenidos pornogrficos o paginas infectadas. Algunos navegadores
web como mozillafirefox o internet explorer 7 cuentan con un sistema
antipop-up integrado.
Antispam:
aplicacin o herramienta que detecta y elimina el spam y los correos no

deseados que circulan por via email. Funcionan mediante filtros de
correo que permiten detectar los emails no deseados. Estos filtros son
totalmente personalizables.
b. Encriptacin
Es una ciencia que brinda distintas tcnicas capaces de transformar datos
legibles en datos no legibles y viceversa por medio de funciones
matemticas (algoritmos).
El objetivo es prevenir datos legibles en inteligibles.
53
Grfico N 34 - Fuente: Elaboracin Propia.

Existen dos tipos:
Simtricos: utilizan la misma clave para encriptar y descriptar
Asimtricos: los cuales utilizan dos claves distintas. Una pblica y la
otra privada.
Estas tecnologas tienen mltiples utilidades entre las que destacaremos las
siguientes:
i. Certificados
Un certificado digital contiene, fundamentalmente, los datos de un usuario
(o entidad) y su clave pblica (ligada a su clave privada). Esta informacin
viene avalada por una entidad tercera que garantiza la validez de su
contenido: es la entidad certificadora
54

ii.
Smart Cards (Tarjetas inteligentes)

Las llamadas tarjetas inteligentes son un dispositivo de seguridad del
tamao de una tarjeta de crdito que ofrece funciones de almacenamiento
y procesamiento seguro de informacin.
55
La diferencia con las tarjetas normales estriba en que stas tienen una banda
magntica en la que existe cierta informacin, mientras que las tarjetas
inteligentes disponen de un chip empotrado en la propia tarjeta. Las tarjetas
aportan las siguientes caractersticas de seguridad:
-
Almacenamiento resistente a ataques para claves privadas y otra
informacin sensible.
Portabilidad de las credenciales digitales y otras informaciones.
Doble seguridad: algo posedo (la tarjeta) y algo conocido (el PIN de
identificacin).
iii. Redes privadas virtuales (VPNs)

Para proteger la informacin que viaja a travs de redes pblicas o poco
seguras se emplea la tecnologa de Redes Privadas Virtuales. Existen
diferentes aproximaciones tecnolgicas para solucionar este problema
pero todas ellas consisten en crear un tnel entre dos extremos que se
comunican. El tnel se crea encriptando la informacin en el origen y
desencriptndola en el destino.
56
Por ejemplo:
- El PPTP1, Point to Point Tunneling Protocol.
- PKI2 (Public Key Infraestructure)
c. Funciones hash
Es una funcin matemtica compleja que se aplica a un conjunto de caracteres
de cualquier longitud obteniendo un resultado de largo fijo, y cualquier cambio
al conjunto de caracteres de origen, producir un cambio en el resultado
d. Proteccin fsica de acceso a las redes
1PPTP,Pointto Point TunnelingProtocol, diseado para autenticar y encriptar (adems de

comprimir) una comunicacin entre dos extremos, en base a un identificador y una
contrasea.
2Una PKI est compuesta por una serie de entidades, Usuarios, Autoridad de Registro, Autoridad
de certificacin, Servidores de tiempo y Repositorio de la informacin.
57
Independientemente de las medidas que se adopten para proteger a los equipos de una red
de rea local y el software que reside en ellos, se deben tomar medidas que impidan que
usuarios no autorizados puedan acceder. Las medidas habituales dependen del medio fsico
a proteger.
A continuacin se enumeran algunos de los mtodos, sin entrar al tema de la proteccin de la
red frente a ataques o intentos de intrusin desde redes externas, tales como Internet.
c.1) Redes cableadas
Las rosetas de conexin de los edificios deben estar protegidas y vigiladas. Una medida
bsica es evitar tener puntos de red conectados a los switches. An as siempre puede ser
sustituido un equipo por otro no autorizado con lo que hacen falta medidas adicionales:
norma de acceso 802.1x, listas de control de acceso por MAC addresses, servidores de
DHCP por asignacin reservada, etc.
c.2) Redes Inalmbricas
En este caso el control fsico se hace ms difcil, si bien se pueden tomar medidas de
contencin de la emisin electromagntica para circunscribirla a aquellos lugares que
consideremos apropiados y seguros. Adems se consideran medidas de calidad el uso del
cifrado ( WPA, WPA v.2, uso de certificados digitales, etc.), contraseas compartidas y,
tambin en este caso, los filtros de direcciones MAC, son varias de las medidas habituales
que cuando se aplican conjuntamente aumentan la seguridad de forma considerable frente al
uso de un nico mtodo.
e. Sanitizacin
Proceso lgico y/o fsico mediante el cual se remueve informacin considerada sensible o
confidencial de un medio ya sea fsico o magntico, ya sea con el objeto de desclasificarlo,
reutilizar el medio o destruir el medio en el cual se encuentra.
58
7. Responsabilidades del rea de Seguridad Informtica
El rea organizacional encargada de la administracin encargada de la administracin de

seguridad de informacin tiene como responsabilidades:
Establecer y documentar las responsabilidades de la organizacin en cuanto a seguridad
de informacin.
Mantener la poltica y estndares de seguridad de informacin de la organizacin.
Identificar objetivos de seguridad y estndares de la entidad.
Definir metodologas y procesos relacionados a la seguridad de informacin.
Comunicar aspectos bsicos de seguridad de informacin a los empleados de la entidad.
Esto incluye un programa de concientizacin para comunicar aspectos bsicos de
seguridad de informacin y de las polticas de la entidad.
59
Desarrollar controles para las tecnologas que utiliza la organizacin. Esto incluye el
monitoreo de vulnerabilidad documentadas por los proveedores.

Monitorear el cumplimiento de la poltica de seguridad de la entidad.
Controlar e investigar incidentes de seguridad o violaciones de seguridad.
Realizar una evaluacin peridica de vulnerabilidades de los sistemas que conforman la
red de datos de la entidad.

Evaluar aspectos de seguridad de productos de tecnologa, sistemas o aplicaciones
utilizados en la entidad.
Asistir a las gerencias de divisin en la evaluacin de seguridad de las iniciativas del
negocio.
Verificar que cada activo de informacin de la entidad haya sido asignado a un
propietario el cual debe definir los requerimientos de seguridad como polticas de
proteccin, perfiles de acceso, respuestas de incidentes y sea responsable final del
mismo.
Administrar un programa de clasificacin de activos de informacin, incluyendo la
identificacin de los propietarios de las aplicaciones y datos.

Coordinacin de todas las funciones relacionadas a seguridad, como seguridad fsica,
seguridad personal y seguridad de informacin almacenada en medios no electrnicos.

Desarrollar y administrar el presupuesto de seguridad de informacin.
Reportar peridicamente a la gerencia de Administracin y Operaciones.
Administracin de acceso a las principales aplicaciones de la entidad.
Elaborar y mantener un registro con la relacin de los accesos de los usuarios sobre los
sistemas y aplicaciones de la entidad y realizar revisiones peridicas de la configuracin
de dichos accesos en los sistemas.

Controlar aspectos de seguridad en el intercambio de informacin con entidades
externas.
Monitorear la aplicacin de los controles de seguridad fsica de los principales activos de
informacin.
8.Actores que amenazan la seguridad
60
Un hacker es cualquier persona con amplios conocimientos en tecnologa, bien puede ser
informtica, electrnica o comunicaciones, mantiene permanentemente actualizado y conoce
a fondo todo lo relacionado con programacin y sistemas complejos; es un investigador nato
que se inclina ante todo por conocer lo relacionado con cadenas de datos cifrados y las
posibilidades de acceder a cualquier tipo de "informacin segura". Su formacin y las
habilidades que poseen les da una experticia mayor que les permite acceder a sistemas de
informacin seguros, sin ser descubiertos, y tambin les da la posibilidad de difundir sus
conocimientos para que las dems personas se enteren de cmo es que realmente funciona
la tecnologa y conozcan las debilidades de sus propios sistemas de informacin.
Un cracker, es aquella persona con comportamiento compulsivo, que alardea de su
capacidad para reventar sistemas electrnicos e informticos. Un cracker es un hbil
conocedor de programacin de Software y Hardware; disea y fabrica programas de guerra y
hardware para reventar software y comunicaciones como el telfono, el correo electrnico o
el control de otros computadores remotos.
Un lamer Es una persona que alardea de pirata informtico, cracker o hacker y solo intenta
utilizar programas de FCIL manejo realizados por autnticos hackers.
Un copyhacker' es una persona dedicada a falsificar y crackear hardware, especficamente
en el sector de tarjetas inteligentes. Su estrategia radica en establecer amistad con los
verdaderos Hackers, para copiarles los mtodos de ruptura y despus venderlos los
bucaneros. Los copyhackers se interesan por poseer conocimientos de tecnologa, son
aficionados a las revistas tcnicas y a leer todo lo que hay en la red. Su principal motivacin
es el dinero.
Un "bucanero" es un comerciante que depende exclusivamente de de la red para su
actividad. Los "bucaneros" no poseen ningn tipo de formacin en el rea de los sistemas, si
poseen un amplio conocimiento en rea de los negocios.
61
Un phreaker se caracterizan por poseer vastos conocimientos en el rea de telefona
terrestre y mvil, incluso ms que los propios tcnicos de las compaas telefnicas;
recientemente con el auge de los telfonos mviles, han tenido que entrar tambin en el
mundo de la informtica y del procesamiento de datos.
Un newbie o "novato de red" es un individuo que sin proponrselo tropieza con una pgina
de hacking y descubre que en ella existen reas de descarga de buenos programas de
hackeo, baja todo lo que puede y empieza a trabajar con ellos.
Un script kiddie o skidkiddie, es un simple usuario de Internet, sin conocimientos sobre
hackeo o crackeo que, aunque aficionado a estos tema, no los conoce en profundidad
limitndose a recopilar informacin de la red y a buscar programas que luego ejecuta,
infectando en algunos casos de virus a sus propios equipos.
Y estos actores operan mediante ataques organizativos: Hay una organizacin que entra en
la red para intentar tener acceso a informacin confidencial con el fin de obtener una ventaja
empresarial.
Los ataques automatizados: utilizan software para examinar posibles vulnerabilidades de la
red o para implementar un ataque electrnico violento, en estos ataques violentos o ataques
por fuerza bruta se intenta usar muchos nombres de usuario y contraseas diferentes u otro
tipo de credenciales para obtener acceso a los recursos.
62
Grfico N 39
- Fuente: Elaboracin Propia.
Los ataques por denegacin de servicio: desbordan un servidor con solicitudes lo que hace
que el mismo no sea capaz de ofrecer su servicio normal.
Los virus, caballos de Troya, gusanos, son programas peligrosos que actan explotando
algunas vulnerabilidades conocidas para instalarse a s mismos en un equipo, muchas veces
entran como datos adjuntos de un mensaje de correo electrnico; una vez all distribuyen
copias de s mismos a otros equipos conectados y estas copias tambin se replican a s
mismas produciendo una rpida infeccin de toda la red informtica.
Las infracciones accidentales de seguridad suelen ser consecuencia de prcticas o
procedimientos deficiente, por ejemplo si queda expuesta pblicamente cierta informacin de
seguridad como nombre de usuario y contrasea un atacante puede aprovechar dicha
informacin para tener acceso a la red.
63
8.1. Mejores prcticas
01 Utilizar estrategias de defensa profunda
Emplee activamente sistemas defensivos mltiples, superpuestos y de soporte mutuo para
protegerse contra fallas de punto nico en cualquier tecnologa o mtodo de proteccin
especfico. Esto debe incluir la implementacin de firewalls actualizados con regularidad, as
como antivirus de puertas de enlace, sistemas de deteccin o proteccin contra intrusiones
(IPS), escaneos de vulnerabilidad de sitios web con proteccin contra malware y soluciones
de seguridad de puertas de enlace web en toda la red.
02 Monitorear para detectar intentos de incursin en la red, vulnerabilidades y abuso
de marca
Reciba alertas sobre nuevas vulnerabilidades y amenazas en las plataformas de los diversos
proveedores para tomar medidas de reparacin proactivas. Detecte casos de abuso de
marca mediante alertas de dominio e informes sobre sitios web ficticios.
03 Un antivirus en los endpoints no alcanza
En los endpoints, es importante tener instaladas las ltimas versiones de software antivirus,
pero esto por s solo no brindar una proteccin completa. Se debe implementar y usar un
producto integral para seguridad en extremos que tenga capas adicionales de proteccin,
incluyendo:
Prevencin
contra
intrusin
en
extremos
que
impida
el
aprovechamiento
de
vulnerabilidades sin parche, proteja contra ataques de ingeniera social y evite que el
malware llegue a los endpoints.
Proteccin del explorador para evitar ataques complejos basados en la web
64
Soluciones de reputacin basadas en archivos y en la web que proporcionen una
calificacin de riesgo y reputacin de cualquier aplicacin y sitio web para impedir la
ejecucin de malwarepolimrfico y de mutacin veloz.
Funciones de prevencin conductual que observen la actividad de las aplicaciones e
impidan la ejecucin de malware.
Configuracin del control de las aplicaciones que impida que stas y los complementos
(plug-ins) del explorador descarguen contenido malicioso no autorizado.
Configuracin del control de los dispositivos que impida y limite los tipos de dispositivos
USB que se utilizarn.
04 Proteger sus sitios web contra Man In The Middle (ataques de intermediarios)e
infecciones de malware
Evite comprometer su relacin de confianza con sus clientes tomando las siguientes
medidas:
Configurar SSL AlwaysOn (proteccin SSL en su sitio web desde el inicio hasta el cierre
de sesin).
Escanear su sitio web en forma diaria para detectar malware.
Establecer el marcador seguro para todas las cookies de la sesin.
Evaluar peridicamente su sitio web para detectar vulnerabilidades (en 2013, uno de cada 8
sitios web escaneados tena vulnerabilidades) .
Optar por Certificados SSL con Validacin Extendida, que muestra a los usuarios del sitio
web la barra de direcciones del explorador en verde.
65
Mostrar marcas de confianza reconocidas en ubicaciones de gran visibilidad en su sitio web
para demostrar a sus clientes su compromiso con la seguridad.
05 Proteger sus claves privadas
Asegrese de obtener sus certificados digitales de una autoridad reconocida y confiable que
demuestre excelentes prcticas de seguridad.
Se recomienda a las organizaciones:
Usar infraestructuras independientes de Firma de Prueba y Firma de Versin
Proteger las claves en dispositivos de hardware seguro, criptogrfico y a prueba de
alteraciones.
Implementar seguridad fsica para proteger sus activos contra robos.
06 Usar encriptacin para proteger datos sensibles
Se recomienda implementar y hacer cumplir una poltica de seguridad que exija que todo
dato sensible sea encriptado. El acceso a la informacin sensible debe ser restringido. Esto
debe incluir una solucin de Proteccin Contra Prdida de Datos (DLP). Asegrese de que
los datos de los clientes tambin estn encriptados. Esto sirve no slo para impedir
violaciones de datos sino que adems puede ayudar a mitigar los daos provocados por las
posibles fugas de datos desde dentro de una organizacin. Use la Prevencin Contra
Prdida de Datos para ayudar a prevenir las violaciones de datos: Implemente una solucin
de DLP capaz de descubrir dnde reside la informacin sensible, monitorear su uso y
protegerlos contra prdidas. Debe implementarse la prevencin contra prdida de datos para
monitorear el flujo de informacin a medida que va saliendo de la organizacin hacia la red, y
el trfico hacia dispositivos externos o sitios web.
66
La solucin de DLP debe configurarse para identificar y bloquear acciones sospechosas de
copiado o descarga de datos sensibles.
Tambin debe utilizarse para identificar activos de datos confidenciales.
07 Asegurarse de que todos los dispositivos autorizados con acceso a las redes de la
empresa tengan protecciones de seguridad adecuadas
Si se aplica una poltica de Traiga su propio dispositivo (BYOD), asegrese de que haya un
perfil de seguridad mnimo para todo dispositivo autorizado a acceder a la red.
08 Implementar una poltica de medios extrables
Cuando sea prctico, restringir los dispositivos no autorizados, tales como discos duros
externos porttiles y otros medios extrables. Tales dispositivos pueden introducir malware y
facilitar las infracciones de propiedad intelectual, ya sea de manera intencional o no. Si los
dispositivos de medios externos estn permitidos, automticamente escanearlos en caso de
virus ya que se conectan a la red, tambin usar una solucin de prevencin de prdida de
datos para monitorear y restringir la copia de informacin confidencial a dispositivos de
almacenamiento externo sin encriptar.
09 Tomar medidas enrgicas de actualizacin y aplicacin de parches
Haga actualizaciones, parcheos y migraciones desde exploradores, aplicaciones y
complementos de exploradores obsoletos e inseguros.
Siempre tenga las ltimas versiones disponibles de las definiciones de prevencin de virus e
intrusiones utilizando los mecanismos de actualizacin automtica de los proveedores. La
mayora de los proveedores de software trabajan con esmero para parchar las
vulnerabilidades de software explotadas; sin embargo, los parches slo pueden ser eficaces
si se adoptan en el campo. Siempre que sea posible, conviene automatizar las
67
implementaciones de parches para mantener la proteccin contra vulnerabilidades en toda la
organizacin.
10 Aplicar una poltica de contraseas eficaz
Asegrese de que las contraseas sean slidas, con un mnimo de 8-10 caracteres de largo
y con una combinacin de letras y nmeros.
Recomiende a los usuarios evitar reutilizar las mismas contraseas en distintos sitios web y
compartir sus contraseas con otras personas, prctica que debera estar prohibida. Las
contraseas se deben cambiar con regularidad, al menos cada 90 das.
11 Hacer copias de seguridad regularmente

Es recomendable crear y mantener copias de seguridad (backups) de los sistemas crticos y
de los extremos con regularidad. Si ocurriera una emergencia de seguridad o de datos, se
debe poder acceder fcilmente a las copias de seguridad para minimizar el tiempo de
inactividad de los servicios y garantizar la productividad de los empleados.
12 Restringir los archivos adjuntos de correo electrnico

68
Configure los servidores de correo para bloquear o eliminar mensajes que contengan
archivos adjuntos que suelen usarse para difundir virus, por ejemplo archivos .VBS, .BAT,
.EXE, .PIF y .SCR. Las empresas deben examinar las polticas relativas a los archivos .PDF
autorizadas a incluirse como datos adjuntos. Asegrese de que los servidores de correo
estn bien protegidos por software de seguridad, y de que los mensajes se escaneen de
forma exhaustiva.
13 Asegurarse de contar con procedimientos de respuesta a infecciones e incidentes
Tenga siempre a mano los datos de contacto de su proveedor de soluciones de seguridad,
sepa a quin va a llamar y qu pasos va a seguir si tiene uno o ms sistemas infectados.
Asegrese de contar con una solucin de copias de seguridad y restauracin para
recuperar datos perdidos o comprometidos si ocurriera un ataque exitoso o una prdida de
datos grave.
Aproveche las funciones de deteccin post infeccin de los cortafuegos y soluciones de
seguridad de puertas de enlace web y extremos para identificar sistemas infectados.
Asle las computadoras infectadas para prevenir el riesgo de infectar otros equipos de la
organizacin, y recupere los datos usando medios confiables de copias de seguridad.
Si los servicios de red son vctimas de un cdigo malicioso o alguna otra amenaza, hay que
deshabilitar o bloquear el acceso a esos servicios hasta aplicar un parche.
14 Educar a los usuarios acerca de los protocolos bsicos de seguridad
No abra datos adjuntos si no esperaba recibirlos o si no provienen de una fuente conocida y
confiable, y no ejecute software descargado de Internet (si se permiten dichas acciones),
salvo que la descarga haya sido escaneada para detectar virus y malware.
69
Se debe tener cuidado al hacer clic en URL en mensajes de correo electrnico o programas
de redes sociales, incluso cuando provienen de fuentes confiables y amigos.
Implemente soluciones con complementos de reputacin de URL en exploradores web que
muestren la reputacin de los sitios webdesde las bsquedas.
Descargue nicamente software (si est permitido) compartido por la empresa, o
directamente del sitio web del proveedor.
Si los usuarios de Windows ven una advertencia que indica que estn infectados luego de
hacer clic en una URL o de usar un motor de bsqueda (infecciones de antivirus falsos), se
debe ensear a los usuarios a cerrar o salir del explorador pulsando Alt-F4 o CTRL+W o
utilizando el administrador de tareas.
9. Medios de transmisin de ataques a los sistemas de seguridad
En la actualidad gracias a la gran cantidad posibilidades que se tiene para tener acceso a los
recursos de manera remota y al gran incremento en las conexiones al internet los delitos en
el mbito de TI se han visto incrementados, bajo estas circunstancias los riesgos informticos
son ms latentes. Los delitos cometidos mediante el uso de la computadora han crecido en
tamao, forma y variedad. Los principales delitos hechos por computadora o por medio de
computadoras son:
Fraudes
Falsificacin
Venta de informacin
Ahora una lista con los diez hackers ms famosos del mundo, describiendo, por supuesto,
las hazaas que lanzaron a estos genios informticos a la popularidad.
1. Kevin Mitnick
70
La lista de hackers la encabeza el norteamericano Kevin Mitnick, tambin conocido como El
Cndor. El Departamento de Justicia de Estados Unidos lo calific como el criminal
informtico ms buscado de la historia" de ese pas.
Mitnick cobr fama a partir de los aos 80, cuando logr penetrar sistemas ultra protegidos,
como los de Nokia y Motorota, robar secretos corporativos y hasta hackear a otros hackers.
Lo apresaron en 1995 y tras su puesta en libertad en 2002 se dedica a la consultora y el
asesoramiento en materia de seguridad, a travs de su compaa Mitnick Security.
2. Kevin Poulson
Poulson logr fama en 1990 por hackear las lneas telefnicas de la radio KIIS-FM de Los
Angeles, para asegurarse la llamada nmero 102 y ganar as un Porsche 944 S2. Y fue
apresado tras atacar una base de datos del FBI en 1991.
3. Adrian Lamo
Originario de Boston, es conocido en el mundo informtico como El hacker vagabundo por
realizar todos sus ataques desde cibercafs y bibliotecas.
Su trabajo ms famoso fue la inclusin de su nombre en la lista de expertos de New York
Times y penetrar la red de Microsoft.
4. Stephen Wozniak
Wozniak comenz su carrera como hacker de sistemas telefnicos para realizar llamadas
gratis; se dice que hasta llam al Papa en los aos 70.
Ms tarde form Apple Computer con su amigo Steve Jobs y hoy apoya a comunidades
educativas de escasos recursos con moderna tecnologa.
71
5. Michael Calce
El da de San Valentn de 2000, con apenas 15 aos de edad, lanz un ataque que afect a
eBay, Amazon y Yahoo!, tras lo cual fue condenado a uso limitado de Internet.
6. Robert Tappan Morris
En noviembre de 1988, Robert Tappan Morris, tambin apodado RTM, cre un virus
informtico que infect a cerca de seis mil grandes mquinas Unix, hacindolas tan lentas
que quedaron inutilizables, causando millonarias
Este hacker fue el primero en ser procesado por la ley de fraude computacional en Estados
Unidos y un disco duro que contiene el cdigo de su virus se exhibe en el Museo de la
Ciencia de Boston.
7. Masters of Deception
Era un grupo de hackers de elite de Nueva York que se dedicaba a vulnerar los sistemas de
telfono de Estados Unidos.
8. Sven Jaschan
Cierra la lista el creador del virus Sasser, quien fue detenido en mayo de 2004 tras una
denuncia de sus vecinos que perseguan la recompensa incitada por la empresa Microsoft,
ya que el virus afectaba directamente la estabilidad de Windows 2000, 2003 Server y
Windows XP.
10. Organismos oficiales de seguridad informtica
Existen organismos oficiales encargados de asegurar servicios de prevencin de riesgos y
asistencia a los tratamientos de incidencias, tales como el Computer Emergency Response
72
Team Coordination Center del Software EngineeringInstitute de la Carnegie Mellon University
el cual es un centro de alerta y reaccin frente a los ataques informticos, destinados a las
empresas o administradores, pero generalmente estas informaciones son accesibles a todo
el mundo.
Espaa: Con el Instituto Nacional de Tecnologas de la Comunicacin (INTECO).
Unin Europea: Con el Centro Europeo de Ciberdelincuencia y es el punto central de la lucha
de la UE contra la delincuencia ciberntica, contribuyendo a una reaccin ms rpida a los
delitos en lnea.
Alemania: El Centro Nacional de Defensa Ciberntica que se encuentra en Bonn coopera
estrechamente con la Oficina Federal para la Seguridad de la Informacin, la Oficina Federal
de Investigacin Criminal; el Servicio Federal de Inteligencia; el Servicio de Inteligencia
Militar y otras organizaciones nacionales en Alemania, con la tarea primordial de detectar y
prevenir los ataques contra la infraestructura nacional.
10. Per
Grafico N 40 - Fuente: Internet.

En Per, dos organismos asumen la responsabilidad principal en las iniciativas vinculadas
con la seguridad y delitos cibernticos. El PeCERT, el equipo de respuesta a incidentes de
seguridad cibernticos (CSIRT) peruano, se fund en 2009 y es la principal entidad
73
responsable de los asuntos relacionados con la seguridad ciberntica en Per, incluidas la
prevencin y gestin de incidentes.
La investigacin de los delitos cibernticos y las responsabilidades correspondientes le
competen fundamentalmente a la Divisin de Investigacin de Alta Tecnologa (DIVINDAT),
comprendida en la Direccin de Investigacin Criminal (DIRINCRI) de la Polica Nacional del
Per (PNP).
Si bien el PeCERT es un CSIRT operativo con responsabilidades a nivel nacional, en la
actualidad se encuentra abocado a la tarea de revisar y actualizar sus mecanismos,
procedimientos y polticas en materia de respuesta ante incidentes.
Per no posee una estrategia o poltica nacional oficial de seguridad ciberntica, pero
actualmente trabaja en su elaboracin.
Tanto la DIVINDAT como el PeCERT capacitan intensamente a su personal con el fin de que
desarrolle y mantenga la capacidad requerida para desempear sus funciones bsicas. La
DIVINDAT, por ejemplo, informa que lleva a cabo regularmente talleres orientados a
actualizar los conocimientos y las habilidades de su personal en lo que respecta al uso
eficiente de herramientas de anlisis forense digital. Si bien se inform que en Per existen
instituciones acadmicas que ofrecen programas degrado con especializaciones en
seguridad ciberntica y delito ciberntico, no se brind informacin acerca de si los
funcionarios gubernamentales accedan a esas oportunidades de formacin.
En lo que atae al aspecto legislativo, la reciente aprobacin de tres leyes la Ley que
Incorpora los Delitos Cibernticos al Cdigo Penal (Ley 27309), la Ley de Proteccin de
Datos Personales (Ley 29733) y la Ley de Delitos Cibernticos (Ley 30096) ha fortalecido el
marco jurdico con que cuenta el pas para promover la seguridad ciberntica y combatir el
delito ciberntico. Se encuentran en estudio otras modificaciones de leyes en vigor.
74
Las entidades del sector privado no tienen obligacin de denunciar incidentes cibernticos
ante las autoridades nacionales competentes. No obstante, el PeCERT ha iniciado
conversaciones orientadas a aumentar la colaboracin con el sector privado, en particular
con ISP (proveedores de servicios de Internet) y bancos. Esta iniciativa obedece, en parte, al
reconocimiento de que las empresas privadas suelen contar con mayor capacidad para
detectar trfico inusual y ataques, as como con sistemas de gestin de la seguridad ms
consolidados, y seran, por ese motivo, socios de inmenso valor en la labor de asegurar la
infraestructura nacional.
La colaboracin y el intercambio de informacin con autoridades nacionales competentes de
otros pases ha sido algo limitada; este es un aspecto que se mencion como una de las
reas en las que debern implementarse nuevas medidas en el futuro.
Tanto el PeCERT como la DIVINDAT indicaron que se encuentran activamente abocados a
mejorar la seguridad de la poblacin a la que atienden, as como a incrementar su capacidad
de recuperacin y resiliencia. Esas iniciativas consisten en una combinacin de medidas
preventivas y reactivas.
En lo correspondiente a la prevencin, se asign prioridad fundamental a las campaas
educativas y de concientizacin internas y externas. Las campaas de concientizacin
internas conducidas dentro de las propias instituciones incluyeron una variedad de
actividades orientadas a lograr que los usuarios comprendan conceptos que no siempre se
asocian con la seguridad ciberntica pero que son clave para que exista, como por ejemplo
la seguridad fsica, seguridad lgica y la seguridad humana. Respecto de las actividades de
concientizacin externas, se llevaron a cabo campaas en los medios de comunicacin, y se
efectuaron actividades de difusin de informacin y educacin en entidades del sector
privado como bancos, servicios de procesamiento de pagos y otras entidades empresariales
y comerciales. Tambin se dirigieron campaas de concientizacin a la ciudadana en
general en las que se enfatizaba la adopcin de buenas prcticas bsicas para reducir la
75
vulnerabilidad y proteger la propia identidad y los datos personales al usar Internet y las TIC
(tecnologas de la Informacin y la Comunicacin).
La DIVINDAT solicita la ayuda de entidades extranjeras toda vez que es apropiado.
Asimismo,
mantiene
relaciones
activas
de
cooperacin
con
ONG
nacionales
internacionales dedicadas a la lucha contra los delitos cibernticos y otros actos ilcitos que
involucren el uso de TIC (trata de personas, prostitucin, pornografa, trfico de rganos,
etc.) y apoya sus iniciativas.
El PeCERT y la DIVINDAT sealaron la existencia de diversos impedimentos que debern
superarse con el fin de mejorar la posicin del pas en materia de seguridad ciberntica y
mejorar su capacidad para combatir el delito ciberntico. Los obstculos relativos al acceso a
la informacin recibieron particular atencin, entre ellos la dificultad de obtener datos de los
ISP u otros proveedores de servicios de manera oportuna. Tambin se indicaron como
impedimentos clave la insuficiencia de recursos y la falta de voluntad de compartir
informacin y cooperar por parte de otras instituciones gubernamentales y privadas.
Los datos oficiales muestran que en 2013 se registr un incremento de alrededor de 30% en
la cantidad de incidentes cibernticos denunciados ante autoridades nacionales e identifican
al sector empresarial, el acadmico, el de las telecomunicaciones y el policial como los
sectores ms afectados de la poblacin, entre otras instituciones del sector pblico.
En 2013, se denunci una amplia variedad de delitos ante las autoridades; los ms comunes
fueron: clonacin de tarjetas de crdito, suplantacin de identidad, amenazas por correo
electrnico, intrusin mediante hackeo o crackeo, acceso no autorizado a bases de datos,
extorsin por Internet, chantaje sexual, operaciones financieras fraudulentas, pornografa
infantil y piratera de software. Las tcnicas empleadas para perpetrar esas actividades
fueron tan variadas como los actos delictivos e incluyeron: intrusiones en puntos de venta
76
(PoS), ingeniera social, pharming (estafa a travs de ingeniera social y sitios fraudulentos),
phishing (suplantacin de identidad) y malware (programas maliciosos).
La DIVINDAT inform que en 2013 se registraron varios incidentes de impacto relativamente
alto, a los cuales lograron responder con eficacia: la divisin identific, localiz y aprehendi
a los culpables y los entreg a las autoridades judiciales competentes. En un caso, el
presidente de una institucin estatal reciba mensajes de correos electrnicos amenazantes y
difamatorios. Mediante la aplicacin de tcnicas forenses, el personal de la DIVINDAT logr
determinar el origen de los mensajes de correo electrnico e identificar el remitente; a
continuacin, notific a sus colegas de la Polica Nacional con el fin de iniciar el
procesamiento penal del infractor. El PeCERT, en otro caso, respondi con xito a un ataque
(vandalismo) contra el portal web de la Presidencia de la Nacin: obtuvo acceso a la
informacin pertinente, la analiz y adopt las medidas necesarias para restaurar su
integridad.
CONCLUSIONES
Parece evidente concluir que la seguridad no es un pequeo apartado ms dentro de

las tecnologas de la informacin, sino que debe abarcarlas en su totalidad. Un buen
plan de seguridad debe ser integral o dejar de ser un plan de seguridad. Debe contar
con todos los recursos: organizativos, humanos, instalaciones, hardware, software,
adems de partir de los niveles altos en la jerarqua de la organizacin.
77
En toda organizacin debe existir un equipo de expertos con sus herramientas

preventivas y de deteccin, as como con sus mecanismos de recuperacin y de
auditora. El mundo de la seguridad es algo vivo que debe ser continuamente
evaluado y actualizado.
Si bien da a da aparecen nuevos y complejos tipos de incidentes, an se registran

fallas de seguridad de fcil resolucin tcnica, las cuales ocurren en muchos casos
por falta de conocimientos sobre los riesgos que acarrean. Por otro lado, los
incidentes de seguridad impactan en forma cada vez ms directa sobre las personas.
En consecuencia, se requieren efectivas acciones de concientizacin, capacitacin y
difusin de mejores prcticas.
Es necesario mantener un estado de alerta y actualizacin permanente: la seguridad

es un proceso continuo que exige aprender sobre las propias experiencias.
Las organizaciones no pueden permitirse considerar la seguridad como un proceso o

un producto aislado de los dems. La seguridad tiene que formar parte de las
organizaciones.
Debido a las constantes amenazas en que se encuentran los sistemas, es necesario

que los usuarios y las empresas enfoquen su atencin en el grado de vulnerabilidad y
en las herramientas de seguridad con las que cuentan para hacerle frente a posibles
ataques informticos que luego se pueden traducir en grandes prdidas.
La falta de cultura informtica es un factor crtico en el impacto de los delitos

informticos en la sociedad en general, cada vez se requieren mayores conocimientos
en tecnologas de la informacin, las cuales permitan tener un marco de referencia
aceptable para el manejo de dichas situaciones.
Nuevas formas de hacer negocios como el comercio electrnico puede que no

encuentre el eco esperado en los individuos y en las empresas hacia los que va
dirigido sta tecnologa, por lo que se deben crear instrumentos legales efectivos que
78
ataquen sta problemtica, con el nico fin de tener un marco legal que se utilice
como soporte para el manejo de ste tipo de transacciones.
RECOMENDACIONES
79
Actualice regularmente su sistema operativo y el software instalado en su equipo,

poniendo especial atencin a las actualizaciones de su navegador web. Estar al da
con las actualizaciones, as como aplicar los parches de seguridad recomendados por
los fabricantes, le ayudar a prevenir la posible intrusin de hackers y la aparicin de
nuevos virus.
Instale un Antivirus y actualcelo con frecuencia. Analice con su antivirus todos los
dispositivos de almacenamiento de datos que utilice y todos los archivos nuevos,
especialmente aquellos archivos descargados de internet.
Instale un Firewall o Cortafuegos con el fin de restringir accesos no autorizados de

Internet.
Utilice contraseas seguras, es decir, aquellas compuestas por ocho caracteres, como
mnimo, y que combinen letras, nmeros y smbolos. Es conveniente adems, que
modifique sus contraseas con frecuencia. En especial, le recomendamos que cambie
la clave de su cuenta de correo si accede con frecuencia desde equipos pblicos.
Navegue por pginas web seguras y de confianza. Para diferenciarlas identifique si

dichas pginas tienen algn sello o certificado que garanticen su calidad y fiabilidad.
Extreme la precaucin si va a realizar compras online o va a facilitar informacin
confidencial a travs de internet.
Ponga especial atencin en el tratamiento de su correo electrnico, ya que es una de

las herramientas ms utilizadas para llevar a cabo estafas, introducir virus, etc.
No abra mensajes de correo de remitentes desconocidos.
Desconfe de aquellos e-mails en los que entidades bancarias, compaas de

subastas o sitios de venta online, le solicitan contraseas, informacin confidencial,
etc.
No propague aquellos mensajes de correo con contenido dudoso y que le piden ser
reenviados a todos sus contactos. Este tipo de mensajes, conocidos como hoaxes,
pretenden avisar de la aparicin de nuevos virus, transmitir leyendas urbanas o
mensajes solidarios, difundir noticias impactantes, etc.
80
En general, es fundamental estar al da de la aparicin de nuevas tcnicas que

amenazan la seguridad de su equipo informtico, para tratar de evitarlas o de aplicar
la solucin ms efectiva posible.
Aumentar la conciencia sobre los hbitos cibernticos y la sensibilidad general hacia la

seguridad ciberntica entre los usuarios finales, los operadores de infraestructuras
crticas y los funcionarios gubernamentales. Esto dificultar que los delincuentes
cibernticos perpetren ataques que han sido comunes contra estos tres grupos. La
sensibilizacin puede ser una de las maneras ms baratas y eficaces de minimizar los
riesgos a la seguridad ciberntica y cerrar las brechas de seguridad que siguen
estando totalmente abiertas.
Invertir y promover la matriculacin en programas de formacin tcnica. La proteccin

de redes gubernamentales y privadas requiere conocimientos tcnicos difciles de
adquirir a corto plazo. Junto con las campaas de sensibilizacin en las escuelas, las
instituciones acadmicas necesitan esforzarse ms para atraer estudiantes hacia los
itinerarios formativos en ciencias informticas y seguridad informtica. Esto asegurar
que se disponga de un gran acervo de candidatos calificados del cual extraer a los
profesionales que se requerirn para cubrir el nmero creciente de carreras
profesionales en seguridad informtica.
Seguir fortaleciendo los mecanismos de poltica para asignar funciones y

responsabilidades gubernamentales relacionadas con la seguridad ciberntica y
codificar mecanismos de intercambio de informacin y cooperacin. Esta labor se ha
iniciado ya, pero es hora de que todos los Estados reflexionen estratgicamente sobre
cmo desarrollarn sus regmenes de seguridad ciberntica, hacia dnde enfocarn
sus esfuerzos y cmo convertirn sus visiones en realidades.
ANEXOS
81
Nota de prensa
Piratas informticos peruanos son los ms hbiles y exitosos de Sudamrica
Sbado, 06 de septiembre del 2014
Adems de intervenir las redes del gobierno de Per y destapar casos como los
Cornejoleaks, tambin lograron extraer informacin gubernamental de Argentina, Chile,
Colombia y Venezuela.
Un grupo de piratas informticos peruanos se ha infiltrado a las redes de las fuerzas armadas
y la polica de su pas, as como de otras agencias gubernamentales en Argentina, Colombia,
Chile y Venezuela, desarticulndolas y extrayndoles datos delicados para lucir su destreza
ciberntica y apuntarse puntos polticos.
Sin embargo, su proeza ms reciente podra ser la que tenga ms consecuencias.
Los correos electrnicos robados por los intrusos del grupo LulzSecPeru a la red del Consejo
de Ministros Peruanos y divulgados en internet el mes pasado desataron acusaciones de que
altos ministros del gabinete han actuado ms como cabilderos industriales que como
servidores pblicos. Ayudaron a precipitar un voto de no confianza la semana pasada al que
apenas pudo sobrevivir el gabinete.
Los piratas integran una versin local y compacta del colectivo de intrusos cibernticos
LulzSec, con sede en Estados Unidos y Gran Bretaa, que agrupa a los llamados piratas de
sombrero negro, los cuales violan la seguridad de las computadoras simplemente por
superar un reto, o tambin para obtener ganancias personales.
El grupo LulzSec surgi del movimiento Anonymous, que ha atacado los sistemas de la
Iglesia de la Cienciologa y ha promovido agitacin en favor de la filtracin de documentos
del escndalo WikiLeaks y del movimiento Ocupemos Wall Street.
Gran parte del activismo de los piratas cibernticos fuera de Estados Unidos y Europa
occidental ha perdido fuerza o se ha visto obligado a operar en la clandestinidad despus de
enfrentar presin policial y arrestos, dijo Gabriella Coleman, antroploga en la Universidad
McGill, en Montreal, Canad, quien ha estudiado el fenmeno.
Sin embargo, los piratas informticos en Latinoamrica nunca se detuvieron realmente,
seal Coleman.
82
De ellos, LulzSecPeru es considerado ampliamente como el equipo de piratas activistas ms
hbil y con ms xitos en la regin, dijo Camilo Galds, experto peruano en seguridad digital.
Uno de sus actos ms notorios fue secuestrar las cuentas en Twitter del presidente
venezolano y del gobernante Partido Socialista Unido de Venezuela durante las elecciones
en ese pas el ao pasado.
Happy hunting! (feliz cacera!) escribieron los piratas informticos de LulzSecPeru se
dice que son dos hombres jvenes el mes pasado cuando colocaron en internet los
aproximadamente 3.500 correos electrnicos del entonces primer ministro Ren Cornejo,
fechados de febrero a julio.
La preocupacin no es tanto por la informacin que se va a encontrar all, sino por el hecho
que se ha vulnerado la privacidad, declar Cornejo a periodistas. Su sucesora, Ana Jara,
dijo que algunos de los correos robados podran haber tocado asuntos de defensa nacional.
Pero lo que el pblico hall en ellos fue evidencia de la influencia de los cabilderos de las
industrias peruanas de la pesca y el petrleo, lo que gener una enorme presin sobre los
ministros de Energa y de Finanzas.
En una de las misivas, una ejecutiva de la pesca le pregunta al ministro de Finanzas si podra
ampliarse la temporada de extraccin de la anchoveta. Posteriormente ve concedido su
deseo.
El ministro de Energa, en un irritado intercambio de correos, rechaza impacientemente las
objeciones del ministro del Medio Ambiente en torno a sus clidas relaciones con una
compaa petrolera australiana con relacin a concesiones para extraer crudo del mar. Los
tcnicos de la industria petrolera no los reguladores son los mejor capacitados para
determinar si se requieren estudios de impacto ambiental para las pruebas ssmicas de
exploracin, afirma el ministro de Energa.
El espectculo de los CornejoLeaks, como los apod la prensa, les agrad mucho a los
piratas informticos.
Nosotros estamos metidos en todo, alarde uno de los dos, apodado Cyber-Rat (rata
ciberntica), en una charla encriptada en lnea con The Associated Press a la que lleg por
medio de un tnel informtico, con lo cual ocult sus huellas digitales. No hay lmites en el
hacking (piratera informtica).
83
Cyber-Rat dice tener 17 aos y asegura que dejar la piratera antes de convertirse en adulto
con el fin de evitar ir a la crcel. Se encarga de la labor intrusiva en las redes sociales, cultiva
la relacin con los activistas de Anonymous que ayudan a dar publicidad a los logros de
LulzSecPeru y admite tener una tendencia al narcisismo.
Su socio lleva el apodo de Desh501, dice tener entre 19 y 23 aos y ser estudiante
universitario. Desh es el experto tecnolgico, y es ms reservado.
Soy muy cerrado. No tengo amigos hackers en persona, slo virtualmente, escribe.
Ambos dicen ser autodidactas. Cyber-Rat seala que comenz a programar a los 8 aos,
mientras que Desh empez a los 6.
Cyber-Rat menciona que su labor de piratera no est realmente impulsada por alguna
ideologa.
Es una bsqueda del xtasis de hacer algo sin precedentes, afirm, refirindose al hecho
de avergonzar a administradores de redes que dicen que stas son a prueba de todo.
Sin embargo, las acciones de estos piratas no siempre concuerdan con esa afirmacin.
Desh dijo estar motivado por objeciones a 1. el abuso de poder, y 2. la falta de
transparencia.
Es evidente que algunas de sus acciones estn impulsadas por mviles polticos. Le quitaron
la fachada al cibersitio de la mina de cobre Antamina en 2012, ubicada en Per, despus de
que una tubera de ese consorcio multinacional se rompi, lo que deriv en que enfermaran
decenas de personas. Fue idea de Rat, dijo Desh.
Y en febrero tambin le retiraron la fachada al cibersitio del partido gobernante de Venezuela
en respaldo de los manifestantes antigubernamentales, al cual ingresaron a travs de una de
las puertas traseras que dicen dejar en las redes que penetran.
Desh indic que tambin retienen el acceso a la fuerza area chilena, de la que este mes
retiraron documentos delicados sobre compra de armas, los cuales colocaron en internet.
Dijeron que se trataba de una represalia por el hecho de que Chile hubiera espiado a la
fuerza area peruana en un caso que sali a la luz en 2009.
84
Los piratas cibernticos, que tienen 30.000 seguidores en Twitter, dicen que ni se enriquecen
ni hacen dao con sus proezas.
Pero muchos creen que LulzSecPeru s hizo dao al ingresar a la red de la compaa que
maneja el principal dominio de Per. En octubre de 2012 coloc en internet una base de
datos con miles de nombres, nmeros telefnicos, direcciones de correo electrnico y
contraseas de sitios afectados, incluidos bancos, compaas de seguridad, el buscador
Google de todos los dominios que concluan con .pe.
Desh dijo que Rat lo hizo sin consultarlo.
Ese da casi lo mato, se quej.
Erick Iriarte, un representante empresarial y destacado activista peruano de internet, dijo que
dicha filtracin ocurri bastante antes de que esa informacin fuera colocada en lnea, por lo
que se le avis a los clientes a tiempo para que modificaran sus contraseas. Desh confirm
que el ingreso ilegal ocurri seis semanas antes de que los datos fueran subidos a la red
mundial.
En toda Latinoamrica, los trabajadores estatales suelen considerar que las redes operadas
por los gobiernos son inseguras y poco confiables. Un sorprendente nmero de altos
funcionarios utilizan servicios privados de correo electrnico en lugar de dichas redes.
Las autoridades peruanas consideran a LulzSecPeru como un grupo de piratas cibernticos y
dicen que sus miembros podran enfrentar hasta ocho aos de crcel bajo el nuevo estatuto.
Pero primero deben ser capturados, y expertos independientes de seguridad dicen que la
capacidad tcnica de la polica ciberntica peruana est muy por debajo de la de ellos. La
primera accin de LulzSecPeru que lo arroj a la fama fue penetrar la red de dicha polica a
principios de 2012. El grupo pirata dice que an tiene acceso por una puerta trasera oculta.
El comandante de la unidad, coronel Carlos Salvatierra, consider que dichas crticas son
infundadas. No quiso entrar en detalles sobre la investigacin a LulzSecPeru, pero dijo que
incluye coordinacin permanente con otros gobiernos afectados y comenz hace meses.
El apodo LulzSec fusiona lulz, que se deriva de LOL (siglas en ingls de riendo a
carcajadas) y evoca en parte el deleite malicioso de los piratas cibernticos que dejan
expuestas las fallas de seguridad (sec). Y no hay mayor lulz para el par que burlarse de
Roberto Puyo, jefe de tecnologa del Consejo de Ministros de Per y presidente del captulo
85
peruano de la Asociacin de Seguridad Informtica Internacional, el grupo ms importante
del pas en ciberseguridad.
Puyo no respondi a llamadas telefnicas ni correos electrnicos en los que se le solicitaban
una explicacin sobre cmo fue violada su red.
Desh dijo que lograr ingresar le llev un mes. Indic que posteriormente canaliz una copia
exacta de todo el trnsito a un servidor externo durante casi un mes, proceso en el que
tambin captur la contrasea del correo electrnico de Cornejo. Dijo tambin que la cuenta
del ex primer ministro en Gmail estaba vinculada con la cuenta de correo oficial que Cornejo
tena, y que el intruso ciberntico pudo penetrarla a travs de un espejo de ella en la red.
Rat dijo que por ahora el grupo se mantiene alejado de la red del Consejo de Ministros, ya
que por el momento tiene tarros de miel: trampas diseadas para intentar capturarlos.
Ambos piratas dicen tener confianza en que hacen desaparecer sus huellas lo suficiente. Y
sealan que no tientan al destino, por lo cual no atacan redes del gobierno estadounidense,
ya que no quieren que el FBI los persiga.
No me preocupo mucho, afirm Desh. Aunque tampoco elimino la opcin de que me
atrapen.
Nadie es invencible, agreg.
86
Nota de prensa
1 de cada 3 empresas peruanas ha sufrido ataques cibernticos
Lima, 19 de marzo de 2014
Los ataques cibernticos son un claro y real peligro que no se puede ignorar.
EY realiz una encuesta anual de seguridad de informacin a nivel mundial, la cual indica
que existe una latente preocupacin por eventuales ataques cibernticos en las empresas,
derivados del uso de nueva tecnologa de cmputo y comunicaciones. En el Per, las
empresas se ven claramente afectadas, se estima que 1 de cada 3 empresas han sufrido
algn ataque ciberntico durante el 2013.
Para vencer este tipo de ataques cibernticos, EY recomienda que la alta gerencia en las
empresas se involucre y tome real conciencia del impacto de la seguridad informtica en las
organizaciones, de la mano un presupuesto adecuado para invertir en los elementos de
control y seguridad de informacin que le permitan salvaguardar la informacin de la
empresa. Elementos tales como un firewall para comunicaciones en el internet, programas
antivirus y una topologa de red con servidores y software de identificacin de intrusin son
una necesidad real.
Slo el 10% de las empresas encuestadas presentaba un rea de seguridad con reporte
directo a la gerencia general; 28% report contar con un gobierno y gestin de seguridad de
informacin; y un 14% mantiene una gestin de seguridad mayormente tcnica a nivel de
operaciones.
La Gerencia General debe entender las amenazas a las que se encuentra expuesta su
organizacin por la tecnologa de cmputo y comunicaciones que usa en su negocio, para
poder decidir la prioridad de las iniciativas y las inversiones vinculadas a ellas. Los ataques
cibernticos son un claro y real peligro que no se puede ignorar.
87
Un resultado que se mantiene igual en los ltimos tres aos es que ms de la mitad de los
encuestados (65%) reporta que las restricciones presupuestales siguen siendo el principal
obstculo para el desarrollo de esquemas de seguridad de informacin en la empresa. 45%
de los encuestados reporta que planean orientar iniciativas para mitigar las vulnerabilidades
relacionadas con el uso de computacin mvil y el efecto del uso de los equipos personales
(smartphones) en el entorno de la empresa. En general, la mayor amenaza identificada por
los encuestados es el phishing y el malware; 31% indica que se ha incrementado el nmero
de incidentes en los ltimos 12 meses.
88
REFERENCIAS
REFERENCIAS WEBGRAFICAS:
El portal de ISO 27001 en Espaol: http://www.iso27000.es/sgsi.html

http://seguridadinformaticaufps.wikispaces.com/Politicas,
+Planes+y+Procedimientos+de+Seguridad
http://www.ilustrados.com/tema/4924/Politicas-procedimientos-seguridad-
informacion.html, Autor: Victor E. Cappuccio, 2002

http://www.inteco.es/blogs/post/Seguridad/BlogSeguridad/Articulo_y_comentarios/Politi
cas_normas_procedimientos_de_seguridad_y_otros_documentos_de_un_SGSI,
Autor: Javier Cao Avellaneda. 2008

http://www.monografias.com/trabajos82/la-seguridad-informatica/la-seguridad-
informatica2.shtml#ixzz3Cwrd8ZlF
http://www.slideshare.net/guest8d2f0a/seguridad-informatica-3261911?
src=related_normal&rel=2573451
http://www.sitiosargentina.com.ar/webmaster/cursos%20y
%20tutoriales/que_es_un_antivirus.htm
http://www.segu-info.com.ar/fisica/seguridadfisica.htm
http://www.segu-info.com.ar/articulos/2-porque-caen-password-clave.htm
http://www.slideshare.net/saintmanios/8-seguridad-informatica-presentation-633705
http://www.seguridad.unam.mx/eventos/adminunam/politicas_seguridad.pdf
89
BIBLIOGRAFAS:
Computacin aplicada a contabilidad, administracin y economa, tema: seguridad
informtica, autor: Leonardo senamayans, Julio 2000.
Texto Introduccin a la informtica George Beekman
ASPECTOS TCNICOS DE LA SEGURIDAD EN LA INFORMACIN SANITARIA, autores:
- Jokin Sanz Ureta Jefe de la Seccin de Sistemas Gobierno de Navarra
- Sebastin Hualde Tapia Director de Servicio de Organizacin y Planificacin de la
Informacin Gobierno de Navarra
90

Seguridad Informatica-Grupo 3

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Seguridad Informatica-Grupo 3

Enviado por

Direitos autorais:

Formatos disponíveis

Universidad Nacional Mayor de San

Facultad de ciencias Contables

Guevara Camacho, Yoselin.

Omonte Tello, Anali.

Soto Meja, Patricia .

4. Anlisis de impacto al negocio

5. Puesta en marcha de una poltica de seguridad

6. Tcnicas para asegurar el sistema

7. Algunas afirmaciones errneas comunes acerca de la seguridad

9. Medios de transmisin de ataques a los sistemas de seguridad

10. Organismos oficiales de seguridad informtica

Seguridad informtica surgen como una herramienta organizacional para concientizar

La seguridad informtica puede definirse como el conjunto de reglas, planes y

computacional o la capacidad de mantener intacta y protegida la informacin de

La seguridad informtica puede ser definida, bsicamente, como la preservacin de la

Seguridad Informtica: Conjunto de soluciones Tcnicas, Organizativas, Legales y

De los anterior, se puede extraer que la seguridad Informtica es el conjunto de medidas

horarios de funcionamiento, restricciones a ciertos lugares, autorizaciones,

denegaciones, perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que

Grfico N 3 - Fuente: Seguridad como encargo social- Wikipedia.

a. Confidencialidad: Consiste en la capacidad de garantizar que la informacion

es esencial para estar al tanto de las

Los usuarios o personal

Cuadro N 4 - Fuente: Elaboracin Propia.

2.2.3 Amenazas por el medio utilizado.

Las amenazas informticas

Mantener las soluciones activadas y actualizadas.

3. GESTIN DE RIESGO EN LA SEGURIDAD INFORMTICA

Cuadro N 5 - Fuente: Elaboracin Propia.

Anlisis: Determina los componentes de un sistema que requiere proteccin, sus

Clasificacin: Determina si los riesgos encontrados y los riesgos restantes son

Reduccin: Define e implementa las medidas de proteccin. Adems sensibiliza y

Control: Analiza el funcionamiento, la efectividad y el cumplimiento de las medidas,

Potenciar las capacidades institucionales, reduciendo la vulnerabilidad y limitando las

Orientar el funcionamiento organizativo y funcional.

Garantizar comportamiento homogneo.

Garantizar correccin de conductas o prcticas que nos hacen vulnerables.

Conducir a la coherencia entre lo que pensamos, decimos y hacemos.

3.1 Anlisis de riesgo

Confidencial (acceso restringido:

Observar cales instancias manejan

Cuadro N 6 - Fuente: Elaboracin Propia.

Cuadro N 7 - Fuente: Internet.

Riesgo = Probabilidad de Amenaza x Magnitud de Dao

Dinmico y cambiante (Interaccin de Amenazas y Vulnerabilidad)

Diferenciado y tiene diferentes caracteres (caracteres de Vulnerabilidad)

Entre ms alta la Probabilidad de Amenaza y Magnitud de Dao, ms grande es el riesgo y el

Inters o la atraccin por parte de

Cuadro N 8 - Fuente: Elaboracin Propia.

Cul es el inters o la atraccin por parte de individuos externos, de

Cules son nuestras vulnerabilidades?

Cuntas veces ya han tratado de atacarnos?

Cuadro N 9 - Fuente: Elaboracin Propia.

Consideraciones sobre las

Quin sufrir el dao?

Existen condiciones de incumplimiento de confidencialidad interna y externa?

Existen condiciones de incumplimiento de obligacin jurdicas, contratos y

Cul es el costo de recuperacin?

Cuadro N 11 - Fuente: Internet.

El Riesgo, que es el producto de la multiplicacin Probabilidad de Amenaza por Magnitud de

Bajo Riesgo = 1 6 (verde)

Medio Riesgo = 8 9 (amarillo)

Alto Riesgo = 12 16 (rojo)