I.

Objetivo
Establecer las normativas para la proteccin y aseguramiento de los servidores
de la Sociedad Mercantil Inversiones SiSalud C.A.
II. Alcance
Indicar a las reas responsables los controles de seguridad que deben tomarse
en cuenta en el momento de administrar los servidores de la Institucin.
III. Norma General
Cualquier empleado que se le compruebe el incumplimiento de las polticas,
lineamientos tcnicos, normas y procedimientos en materia de Seguridad de la
Informacin establecidos en este documento estar sujeto a sanciones
disciplinarias.
IV. Lineamientos
1. Para una adecuada implementacin de los servidores, se deber:
1.1. Verificar que informacin se almacenar, procesar y trasmitir a travs del
servidor, tomando en consideracin el Esquema de Niveles de Seguridad de la
Informacin, establecido por la Institucin.
1.2. Identificar que informacin se recuperar de o almacenar en otros
servidores, verificando los controles de seguridad de los mismos.
1.3. Determinar cual o cules son los servicios que ofrecer el servidor a
implementar.
1.4. Identificar los requisitos para la continuidad de los servicios prestados por
el servidor, tales como la continuidad de las operaciones y planes de
recuperacin de desastres.
1.5. Identificar los servicios de red que sern proporcionados por el servidor,
as como, los protocolos de red utilizados por cada servicio, desactivando
aquellos que no sean necesarios.
1.6. Identificar a los usuarios y los perfiles de usuarios del servidor y determinar
privilegios para cada perfil.
1.7. Determinar cmo el servidor ser administrado (por ejemplo, a nivel local,
de forma remota desde la red interna o redes externas).

1.8. Identificar los mtodos de autenticacin de los usuarios para ingresar al

servidor.
1.9. Ubicar el servidor en un lugar que ofrezca mecanismos de proteccin
fsica, tales como: cerraduras, lector de tarjetas de acceso, guardias de
seguridad, sistemas de deteccin de intrusos (sensores de movimiento,
cmaras).
1.10

Establecer

controles

ambientales

adecuados

para

mantener

la

temperatura y humedad necesaria.

1.11. Contar con fuente de energa de reserva.
2. Para la configuracin del sistema operativo de los servidores, se deber:
2.1. Aplicar parches o actualizaciones al sistema operativo del servidor una vez
instalado para atacar las vulnerabilidades conocidas, para lo cual se debe:
Crear

implementar

un

proceso

de

actualizacin,

identificar

las

vulnerabilidades y aplicar los parches, mitigar las vulnerabilidades de manera

temporal de ser necesario y posible (mientras los parches estn disponibles,
probados e instalados) e instalar la solucin definitiva.
2.2. Asegurar que el servidor est adecuadamente protegido durante el proceso
de actualizacin, realizando pruebas antes de su instalacin en otro servidor
con las mismas caractersticas y as evitar alterar el funcionamiento del mismo.
2.3. Deshabilitar las cuentas y grupos por defecto del sistema operativo del
servidor, para prevenir posibles ataques. En caso de que se requiera conservar
alguna de ellas cambiar la contrasea siguiendo los lineamientos establecidos
por la Institucin.
2.4. Crear grupos de usuarios asignando los derechos de accesos
correspondientes de acuerdo a las funciones establecidas; una vez definidos
los mismos crear las cuentas de usuario necesarias.
2.5. Limitar el nmero de intentos fallidos para ingresar al servidor, bloqueando
el mismo por un periodo de 30 minutos o hasta que una persona autorizada lo
active nuevamente.
2.6. Configurar la sincronizacin automtica de la hora del servidor.
2.7. Configurar los privilegios de acceso a los recursos de computo (ejemplo
archivos, directorios, dispositivos), para minimizar las brechas de seguridad.
2.8. Seleccionar, instalar y configurar software adicional para facilitar los
controles de seguridad necesarios no incluidos en el sistema operativo

(software antivirus, software de gestin de vulnerabilidades, software de

deteccin y prevencin de intrusos, entre otros).
2.9. Realizar pruebas peridicas de seguridad al sistema operativo del servidor,
para detectar posibles vulnerabilidades y verificar si los controles establecidos
son eficaces y estn configurados adecuadamente.
3. Para la instalacin y configuracin del software de los servidores, se deber:
3.1. Aplicar los parches o actualizaciones para corregir las vulnerabilidades
conocidas.
3.2. Configurar el espacio de almacenamiento para los datos del servidor, de tal
manera que no consuma todo el espacio disponible en su disco duro o
particiones.
3.3. Eliminar o deshabilitar todos los servicios instalados por la aplicacin del
servidor que no sean necesarios (FTP, administracin remota, entre otros).
3.4. Deshabilitar las cuentas de usuario por defecto instaladas por el software
del servidor, para prevenir posibles ataques.
3.5. Eliminar todos los ejemplos, archivos de pruebas (scripts, cdigo
ejecutable, entre otros) y compiladores que no sean necesarios instalados en el
servidor.
3.6. Deshabilitar los comandos en el software del servidor que no sean
necesarios y representen un punto vulnerable.
3.7. Instalar el contenido del servidor en un disco duro o particin lgica distinta
a la del sistema operativo y el software del servidor.
3.8. Configurar el nmero mximo de procesos del servidor y conexiones de
red que el servidor debe permitir.
4. Para el mantenimiento de la seguridad del servidor, se deber:
4.1. Activar los registros necesarios en el servidor, que permitan: Identificar las
alertas de las actividades sospechosas que requieran una investigacin;
realizar el seguimiento de las actividades de un atacante; asistir en la
recuperacin del sistema; ayudar a las investigaciones posteriores a eventos
importantes y aportar informacin valiosa en los procedimientos judiciales.
4.2. Almacenar en un equipo distinto al servidor, los archivos de los registros
para as ofrecer mayor proteccin.
4.3. Revisar peridicamente los archivos de registros para detectar cualquier
actividad sospechosa.

4.4. Respaldar peridicamente los archivos de registros y almacenarlos durante

(1) un ao y (3) tres meses de disponibilidad en lnea.
4.5. Realizar copias de seguridad del servidor, tomando en cuenta diversos
aspectos, entre los cuales se pueden mencionar: programas y archivos de
configuracin del servicio, archivos de registro de eventos o logs, entre otros.
La frecuencia y nmero de copias de seguridad efectuadas podrn variar en
funcin de la disponibilidad y caractersticas de los datos a almacenar, as
como, de los requerimientos legales.
4.6. Mantener servidores de prueba o desarrollo, donde se pueda probar los
nuevos parches, desarrollar y probar nuevos contenidos, aplicaciones,
paquetes de servicios, valores de configuracin, entre otros.
4.7. Realizar pruebas de seguridad (anlisis de Vulnerabilidades, pruebas de
penetracin, entre otras) al servidor de manera peridica, con la finalidad de
determinar si las medidas y controles establecidos son eficaces.
4.8. En caso de administrar de manera remota el servidor, se debe considerar:
4.8.1 Usar mecanismos de autenticacin fuerte.
4.9.1 Utilizar protocolos seguros (SSH, HTTPS) que permitan cifrar las
contraseas y los datos.
4.9.2 Implementar el concepto de mnimo privilegio, es decir, reducir al mnimo
los derechos de acceso para las cuentas de la administracin remota.
4.9.3 Prohibir la administracin remota desde internet a menos que se utilicen
Mecanismos como VPN.