SEGURIDAD INFORMÁTICA
     
Imagen
 
SISTEMAS DE INFORMACIÓN: | HARDWARE Y SOFTWARE COMPONENTES ESCENCIALES DE UN SISTEMA | EL CICLO DE VIDA DE UN SISTEMA INFORMATICO | | RIESGOS INFORMATICOS | SEGURIDAD INFORMÁTICA | COMERCIO ELECTRONICO
 
SEGURIDAD INFORMÁTICA

   
 
Imagen
La seguridad informática ha tomado gran auge, debido a las cambiantes condiciones y nuevas plataformas tecnológicas disponibles. La posibilidad de interconectarse a través de redes, ha abierto nuevos horizontes a las empresas para mejorar su productividad y poder explorar más allá de las fronteras nacionales, lo cual lógicamente ha traído consigo, la aparición de nuevas amenazas para los sistemas de información.

En este sentido, las políticas de seguridad informática surgen como una herramienta organizacional para concienciar a los colaboradores de la organización sobre la importancia y sensibilidad de la información y servicios críticos que permiten a la empresa crecer y mantenerse competitiva, asegurando el buen uso de los recursos informáticos y la información como activos de una organización, manteniéndolos libres de peligros, daños o riesgos.

La seguridad informática se puede clasificar en seguridad lógica y seguridad física y busca con la ayuda de políticas y controles mantener la seguridad de los recursos y la información manejando los riesgos.
PRINCIPIOS DE LA SEGURIDAD DE LA INFORMACIÓN
• INTEGRIDAD: la información debe ser protegida de modificaciones no autorizadas.
• DISPONIBILIDAD: la información y servicios deben estar disponibles siempre que se necesiten.
• CONFIDENCIALIDAD: se debe garantizar que la información es conocida únicamente por a quien le interese.
DEFINICIÓN DE POLÍTICAS DE SEGURIDAD INFORMÁTICA
Una política de seguridad informática es una forma de comunicarse con los usuarios, ya que las mismas establecen un canal formal de actuación del personal, en relación con los recursos y servicios informáticos de la organización.
No se puede considerar que una política de seguridad informática es una descripción técnica de mecanismos, ni una expresión legal que involucre sanciones a conductas de los empleados, es más bien una descripción de los que deseamos proteger y él por qué de ello, pues cada política de seguridad es una invitación a cada uno de sus miembros a reconocer la información como uno de sus principales activos así como, un motor de intercambio y desarrollo en el ámbito de sus negocios. Por tal razón, las políticas de seguridad deben concluir en una posición consciente y vigilante del personal por el uso y limitaciones de los recursos y servicios informáticos.

ELEMENTOS DE UNA POLÍTICA DE SEGURIDAD INFORMÁTICA

- Alcance de las políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.
- Objetivos de la política y descripción clara de los elementos involucrados en su definición.
- Responsabilidades por cada uno de los servicios y recursos informáticos aplicado a todos los niveles de la organización.
- Requerimientos mínimos para configuración de la seguridad de los sistemas que abarca el alcance de la política.
- Definición de violaciones y sanciones por no cumplir con las políticas.
- Responsabilidades de los usuarios con respecto a la información a la que tiene acceso.

Las políticas de seguridad informática, también deben ofrecer explicaciones comprensibles sobre por qué deben tomarse ciertas decisiones y explicar la importancia de los recursos. Igualmente, deberán establecer las expectativas de la organización en relación con la seguridad y especificar la autoridad responsable de aplicar los correctivos o sanciones.
Otro punto importante, es que las políticas de seguridad deben redactarse en un lenguaje sencillo y entendible, libre de tecnicismos y términos ambiguos que impidan una comprensión clara de las mismas, claro está sin sacrificar su precisión.
Por último, y no menos importante, el que las políticas de seguridad, deben seguir un proceso de actualización periódica sujeto a los cambios organizacionales relevantes, como son: el aumento de personal, cambios en la infraestructura computacional, alta rotación de personal, desarrollo de nuevos servicios, regionalización de la empresa, cambio o diversificación del área de negocios, etc.

PARÁMETROS PARA ESTABLECER POLÍTICAS DE SEGURIDAD

- Efectuar un análisis de riesgos informáticos, para valorar los activos y así adecuar las políticas a la realidad de la empresa.
- Reunirse con los departamentos dueños de los recursos, ya que ellos poseen la experiencia y son la principal fuente para establecer el alcance y definir las violaciones a las políticas.
- Comunicar a todo el personal involucrado sobre el desarrollo de las políticas, incluyendo los beneficios y riesgos relacionados con los recursos y bienes, y sus elementos de seguridad.
- Identificar quién tiene la autoridad para tomar decisiones en cada departamento, pues son ellos los interesados en salvaguardar los activos críticos su área.
- Monitorear periódicamente los procedimientos y operaciones de la empresa, de forma tal, que ante cambios las políticas puedan actualizarse oportunamente.
- Detallar explícita y concretamente el alcance de las políticas con el propósito de evitar situaciones de tensión al momento de establecer los mecanismos de seguridad que respondan a las políticas trazadas.


 
RAZONES QUE IMPIDEN LA APLICACIÓN DE LAS POLÍTICAS DE SEGURIDAD INFORMÁTICA
A pesar de que un gran número de organizaciones canalizan sus esfuerzos para definir directrices de seguridad y concretarlas en documentos que orienten las acciones de las mismas, muy pocas alcanzan el éxito, ya que la primera barrera que se enfrenta es convencer a los altos ejecutivos de la necesidad y beneficios de buenas políticas de seguridad informática.
Otros inconvenientes lo representan los tecnicismos informáticos y la falta de una estrategia de mercadeo por parte de los Gerentes de Informática o los especialistas en seguridad, que llevan a los altos directivos a pensamientos como que los recursos que se destinan al Departamento de Sistemas más que una inversión es un gasto.
Esta situación ha llevado a que muchas empresas con activos muy importantes, se encuentren expuestas a graves problemas de seguridad y riesgos innecesarios, que en muchos casos comprometen información sensitiva y por ende su imagen corporativa. Ante esta situación, los encargados de la seguridad deben confirmar que las personas entienden los asuntos importantes de la seguridad, conocen sus alcances y están de acuerdo con las decisiones tomadas en relación con esos asuntos.
Si se quiere que las políticas de seguridad sean aceptadas, deben integrarse a las estrategias del negocio, a su misión y visión, con el propósito de que los que toman las decisiones reconozcan su importancia e incidencias en las proyecciones y utilidades de la compañía.
Finalmente, es importante señalar que las políticas por sí solas no constituyen una garantía para la seguridad de la organización, ellas deben responder a intereses y necesidades organizacionales basadas en la visión de negocio, que lleven a un esfuerzo conjunto de sus actores por administrar sus recursos, y a reconocer en los mecanismos de seguridad informática factores que facilitan la formalización y materialización de los compromisos adquiridos con la organización.
PLAN DE CONTINGENCIA
Es el conjunto de procedimientos alternativos a la operativa normal de cada empresa, cuya finalidad es la de permitir el funcionamiento de ésta, aún cuando alguna de sus funciones deje de hacerlo por culpa de algún incidente tanto interno como ajeno a la organización como un fallo en la correcta circulación de información o la falta de provisión de servicios.
El hecho de preparar un plan de contingencia no implica un reconocimiento de la ineficiencia en la gestión de la empresa, sino todo lo contrario, supone un importante avance a la hora de superar todas aquellas situaciones descritas con anterioridad y que pueden provocar importantes pérdidas, no solo materiales sino aquellas derivadas de la paralización del negocio durante un período más o menos largo.
elaboración de un plan de contingencia
1. EVALUACIÓN

- Constitución del grupo de desarrollo del plan.
Este grupo debe estar liderado por un responsable del plan y formado por los líderes de las áreas que se desean cubrir con dicho plan. Su elaboración ha de desarrollarse con la continua supervisión por parte de la dirección ya que durante la elaboración y/o ejecución de éste, deberán comprometerse recursos y aprobarse procedimientos especiales que requieran un nivel de autorización superior.
- Identificación de las funciones críticas.
Esta subfase consiste en identificar aquellos elementos de nuestra empresa o funciones que puedan ser críticos ante cualquier eventualidad o desastre y jerarquizarlos por orden de importancia dentro de la organización.
- Los que podemos encontrarnos para cada elemento o función crítica.
Puede tratarse de problemas en el hardware, software de base, de telecomunicaciones, software de aplicación propio o provisto por terceros, etc. También deben incluirse en esta categoría los siniestros provocados por incendios, una utilización indebida de medios magnéticos de resguardo o back up o cualquier otro daño de origen físico que pudiera provocar la pérdida masiva de información. También incluimos en este apartado todos aquellos problemas asociados con la carencia de fuentes de energía y de telecomunicaciones.
- Análisis del impacto del desastre en cada función crítica.
Consiste en realizar un análisis del impacto de cada problema sobre cada una de las funciones críticas de la organización, teniendo en cuenta las siguientes prioridades:
Evitar pérdidas de vida.
Satisfacer las necesidades básicas.
Reanudar las operaciones lo antes posible.
Proteger el medio ambiente.
Lograr las conexiones con los principales clientes y proveedores.
Mantener la confianza en la empresa.
- Definición de los niveles mínimos de servicio.
Se trata de definir los mínimos niveles de servicio aceptables para cada problema que se pueda plantear. Es importante que dicho nivel se consensúe con cada uno de los responsables de las áreas que puedan verse afectadas.
- Identificación de las alternativas de solución.
En esta subfase deberán identificarse las soluciones alternativas para cada uno de los problemas previsibles. Para ello se puede considerar:
Implementar procesos manuales.
Contratar las tareas críticas con terceros.
Diferir la tarea crítica por un tiempo determinado.
Otra medida que permita continuar las operaciones.
- Evaluación de la relación costo/beneficio de cada alternativa.
De cada alternativa identificada en el punto anterior y sobre la base del impacto económico de cada problema, deberá determinarse la mejor solución desde el punto de vista costo/beneficio para cada proceso crítico y su tiempo de elaboración con un nivel de servicio que satisfaga el nivel mínimo.

2. PLANIFICACIÓN

- Documentación del plan de contingencia.
Es necesario documentar el plan, cuyo contenido mínimo será:
Objetivo del plan.
Modo de ejecución.
Tiempo de duración.
Costes estimados.
Recursos necesarios.
Evento a partir del cual se pondrá en marcha el plan.
Personas encargadas de llevar a cabo el plan y sus respectivas responsabilidades.
- Validación del plan de contingencia.
Es necesario que el plan sea validado por los responsables de las áreas involucradas. De igual manera hay que tener en cuenta las posibles consecuencias jurídicas que pudiesen derivarse de las actuaciones contempladas en él.

3. PRUEBAS DE VIABILIDAD

- Definir y documentar las pruebas del plan
Es necesario definir las pruebas del plan y el personal y recursos necesarios para su realización. Una correcta documentación ayudará a la hora de realizar las pruebas.
- Obtener los recursos necesarios para las pruebas
Deben obtenerse los recursos para las pruebas, ya sean recursos físicos o mano de obra para realizarlas.
- Ejecutar las pruebas y documentarlas
Consiste en realizar las pruebas pertinentes para intentar valorar el impacto real de un posible problema dentro de los escenarios establecidos como posibles.
La capacitación del equipo de contingencia y su participación en pruebas son fundamentales para poner en evidencia posibles carencias del plan.
- Actualizar el plan de contingencia de acuerdo a los resultados obtenidos en las pruebas.
Será necesario realimentar el plan de acuerdo a los resultados obtenidos en las pruebas.
Hay que tener en cuenta que el plan de contingencia general o de continuidad de operaciones de la empresa contiene los planes de contingencia específicos para cada problema definido. Los distintos planes deben integrarse en un todo, considerando las posibles relaciones mutuas.

4. EJECUCIÓN

En esta fase hay que tener muy presente que el plan no busca resolver la causa del problema, sino asegurar la continuidad de las tareas críticas de la empresa.

5. RECUPERACIÓN

Los datos afectados por el siniestro que pudiesen haber quedado desactualizados o corruptos, deben corregirse usando los procedimientos ya definidos.
Una vez finalizado el plan, es conveniente elaborar un informe final con los resultados de su ejecución cuyas conclusiones pueden servir para mejorar éste ante futuras nuevas eventualidades.
Participantes en la formulación del Plan de Contingencia
- Comisiones de trabajo, ubicación y responsabilidad.
Se reúne el grupo consultor, lo cual contiene las siguientes personas:
• Coordinador centro de respaldo.
• Un supervisor sala de máquina.
• Operador sala de máquina.
• Administrador de sistema operativo/base de datos.
• Encargado de aplicaciones.
• Analista de integridad de sistema.
Una vez reunido dicho grupo planifica todos los puntos a desarrollar, y existe un líder que se encarga de asignar las diferentes tareas que se van a desarrollar en un proyecto.
A través de los Backup, para de esta forma poder subir el sistema en el momento requerido, adiestramiento del personal y tenerlo disponible.
• Comité
• Plan de Contingencia
• Presidente
• Vice-presidente
• Tres Ingenieros


- Formación del equipo.
• Plan de Contingencia
• Director del área de informática
• Sub-director de procesamiento electrónicos de datos.
• Gerente de departamento
• Gerente de centro de cómputo
• Gerente de administración de información
• Gerente de programación
• Gerente de Cementación
• Auditores internos y externos de informática
• Gerente Soporte Técnico
• Operadores
Subplanes del Plan de Contingencias
El plan de contingencias comprende tres subplanes. Cada plan determina las contramendias necesarias en cada momento del tiempo respecto a la materialización de cualquier amenaza:

1. plan de respaldo.
Contempla las contramedidas preventivas antes de que se materialice una amenaza. Su finalidad es evitar dicha materialización.
El respaldo puede consistir en alguna combinación de Redundancia, Diversidad y Movilidad.

- Redundancia: se duplica el Hardware, Software y los datos de modo que si la unidad original queda incapacitada la unidad de respaldo puede continuar con el procesamiento.
- Diversidad: los recursos de información no se instalan todos en el mismo lugar. Las compañías grandes por lo regular establecen centros de computo en lugares diferentes a sus áreas de operaciones.
- Movilidad: las compañías pequeñas celebran convenios con otros usuarios del mismo tipo de equipo para que cada una pueda ofrecer respaldo a la otra en caso de ocurrir una catástrofe. Las compañías grandes pueden lograr movilidad contratando un servicio de respaldo en Sitios Activos o Sitios Inactivos. Un Sitio Activo es una instalación de cómputo completa que un proveedor pone a disposición de sus clientes para que la usen en caso de haber una emergencia. Un Sitio Inactivo a menudo llamado “Cascaron Vacío” es construido por la compañía en un lugar separado de las instalaciones de computo normales e incluyen solo los edificios pero no los equipos de computo.

2. plan de emergencia.
Contempla las contramedidas necesarias durante la
materialización de una amenaza, o inmediatamente después. Su finalidad es paliar los efectos adversos de la amenaza.
Este plan deberá incluir la participación y actividades a realizar por todas y cada una de las personas que se pueden encontrar presentes en el área donde ocurre el siniestro, debiendo detallar:
- Vías de salida o escape.
- Plan de Evacuación del Personal.
- Plan de puesta a buen recaudo de los activos (incluyendo los activos de Información) de la Institución (si las circunstancias del siniestro lo posibilitan)
- Ubicación y señalización de los elementos contra el siniestro (extinguidores, cobertores contra agua, etc.)
- Secuencia de llamadas en caso de siniestro, tener a la mano: elementos de iluminación (linternas), lista de teléfonos de Bomberos / Ambulancia, Jefatura de Seguridad y de su personal (equipos de seguridad) nombrados para estos casos.

3. Plan de recuperación.
Contempla las medidas necesarias después de materializada y controlada la amenaza. Su finalidad es restaurar el estado de las cosas tal y como se encontraban antes de la materialización de la amenaza.
Cuando ocurra una contingencia, es esencial que se conozca al detalle el motivo que la originó y el daño producido, lo que permitirá recuperar en el menor tiempo posible el proceso perdido.
Los procedimientos deberán ser de ejecución obligatoria y bajo la responsabilidad de los encargados de la realización de los mismos, debiendo haber procesos de verificación de su cumplimiento. En estos procedimientos estará involucrado todo el personal de la Institución.
Los procedimientos de planes de recuperación de desastres deben de emanar de la máxima autoridad Institucional, para garantizar su difusión y estricto cumplimiento. Se pueden clasificar en tres etapas :
- Actividades Previas al Desastre.
- Actividades Durante el Desastre.
- Actividades Después del Desastre
BIBLIOGRAFIA:
tomado de: <file:///E: emasSeguridad%20informatica.doc