AUDITORIA EN LA SEGURIDAD DE LA INFORMACIÓN
La
seguridad informática se encarga de proteger el sistema informático, tratando
de asegurar la integridad y privacidad de la información que este contiene. Por
lo tanto, se puede decir, que se trataría de implantar medidas técnicas que
preservaran las infraestructuras tecnológicas y de comunicación que soportan la
operación de una organización, es decir, los hardware y software empleados por una
organización en específico.
Comprende el estudio de análisis y gestión
de sistemas llevados a cabo por profesionales para así lograr identificar,
enumerar y posteriormente describir las diversas vulnerabilidades que se
pudieran presentar en una revisión de estaciones de trabajo, redes de
comunicaciones o servidores. De manera que ya una vez obtenidos los resultados,
estos se detallen, se archiven y reporten a los responsables los cuales deberán
establecer las medidas necesarias preventivas de refuerzo, siguiendo siempre un
proceso el cual debe llevar una secuencia que permita a los administradores
mejorar la seguridad de sus sistemas aprendiendo de los errores que han
cometido en la anterioridad. Estas auditorias de seguridad permiten conocer a
su vez el momento de su realización, cual es la situación exacta información en
cuanto a protección, control y medidas de seguridad.
Sin embargo, auditar la seguridad de
la información suele ser una tarea compleja e interesante. La complejidad está dada por la
esencia misma de la gestión, sabemos que detrás de las cuatro palabras
“seguridad de la información” existen miles de palabras que forman parte de una
amplia gama de conceptos, normativas, tecnologías, técnicas y demás.
Peritaje en la Seguridad de la Información
Son los
estudios e investigaciones orientadas a la obtención de una prueba informática de
una aplicación en asuntos judiciales para que de esa manera sirva a un juez
para decidir sobre la culpabilidad o inocencia de alguna de las partes. Además
de ello, cabe destacar que estos estudios e investigaciones utilizadas en
asuntos privados para buscar pruebas y argumentos que sirvan a una de las
partes en discusión para decantar la discrepancia a su favor. Mayormente el
peritaje informático en asuntos penales en lo que la infraestructura informática
considera por delitos graves, como lo es la pornografía infantil en internet,
la propiedad privada intelectual, el espionaje industrial, protección de los datos
de las personas, los fraudes y muchos delitos más.
Objetivos de la Seguridad Informática
1.
Participación
en el desarrollo de nuevos sistemas:
2.
Realizar
una evaluación de controles
3.
Dar
cumplimiento de la metodología que lleva la empresa.
4.
Evaluación
de la seguridad en el área informática.
5.
Evaluación
de suficiencia en los planes de contingencia.
5.1.Cómo generar respaldos, preveer qué va a pasar si se
presentan fallas.
5.2.Opinión de la utilización de los recursos informáticos
5.3.. Tener un resguardo adecuado y protección de activos.
6.
Control
de modificación a las aplicaciones existentes
7.
Evitar
fraudes y robo de información por parte de personal interno o externo.
Tener un control a las modificaciones de los programas.
8.
Participación
en la negociación de contratos con los proveedores de equipo o de software.
9.
Revisión
de la utilización del sistema operativo y los programas utilitarios.
Tener un adecuado control sobre la utilización de los
sistemas operativos y dispositivos conectados a los equipos.
10. Auditoría de la base de datos.
11. Verificar la estructura sobre la cual
se desarrollan las aplicaciones a fin de poder verificar si donde se está
guardando la información se encuentra encriptada, niveles de seguridad,
accesos, entre otros.
11.1.
Auditoría
de la red de teleprocesos.
11.2.
Desarrollo
de software de auditoría.
11.3.
El
objetivo final de una auditoría de sistemas bien implementada es desarrollar
software capaz de estar ejerciendo un control continuo de las operaciones del
área de procesamiento de datos.
11.4.
El
auditor de sistemas dará recomendaciones a la alta gerencia para mejorar o
lograr un adecuado control interno en ambientes de tecnología informática con
el fin de lograr mayor eficiencia operacional y administrativa en toda la
empresa.
Tipos de Amenazas Informáticas
Existen
diversos tipos de amenazas que pueden afectar al funcionamiento de los dispositivos.
Amenas Lógicas: Estos son los programas que pueden dañar el sistema, entre estos
tenemos:
Virus informático:
Es un programa que fue creado para copiarse y
propagarse a sí mismo, normalmente adjuntándose en aplicaciones. Cuando se
ejecuta una aplicación infectada, puede infectar otros archivos.
Troyano:
Son programas malwares capaces de introducirse en
los ordenadores permitiendo el acceso a usuarios externos, a través de una red
local o de internet, con el fin de controlar el ordenador o saquearle
información sin afectar el funcionamiento de este.
Gusano:
Es un programa muy parecido a un virus
diferenciándose de la forma en que se infecta. Los gusanos realizan copias de
los ordenadores mismos, infectando a otros y propagándose automáticamente en
una red independientemente de la acción humana.
Espía:
es aquel que, sin permiso o conciencia de sus actos
por parte de un afectado, adquiere información privada para beneficio propio o
de terceros.
Pharming:
Redirecciona con mala intención al usuario a un
sitio web falso mediante la explotación del sistema DNS, denominándose
secuestro o envenenamiento del DNS.
Spam:
Es todo correo no deseado recibido por el
destinatario, el cual viene de un envío automático y masivo por parte de aquel
que lo emite. El ’spam’ generalmente se asocia al correo electrónico personal,
pero no sólo afecta a los correos electrónicos personales, sino también a
foros, blogs y grupos de noticias.
Amenazas
Físicas: Son
amenazas que pueden darse mayormente por fallos en los dispositivos, entre
ellas se encuentra:
Hacker:
Un hacker es conocido como un usuario ajeno, es
decir una persona el cual entra en los dispositivos con intenciones de robar la
información y causar daños.
Técnicas
para asegurar los Sistemas Informáticos:
Codificar la información: Se encarga
de encriptar la información, basada en la criptografía y Criptociencia, creando
contraseñas complejas de averiguar a partir de datos personales del individuo.
Tecnologías repelentes o protectoras: Son las
conocidas cortafuegos, los sistemas de detección de intrusos como lo son los
antivirus, y las llaves de protección de software.
Respaldo de Información: La información
constituye el activo más importante de las empresas, pudiendo verse afectada
por muchos factores tales como robos, incendios, fallas de disco, virus u otros.
Vigilancia
de red: Las redes transportan toda la información, por lo que
además de ser el medio habitual de acceso de los atacantes, también son un buen
lugar para obtener la información sin tener que acceder a las fuentes de la
misma.
Controlar el acceso a la
información por medio de permisos centralizados y mantenidos (tipo ActiveDirectory, LDAP, listas
de control de acceso, etc.). Los medios para conseguirlo son:
1. Restringir
el acceso (de personas de la organización y de las que no lo son) a los
programas y archivos.
2. Asegurar
que los operadores puedan trabajar pero que no puedan modificar los programas
ni los archivos que no correspondan (sin una supervisión minuciosa).
3. Asegurar
que se utilicen los datos, archivos y programas correctos en/y/por
el procedimiento elegido.
4. Asegurar
que la información transmitida sea la misma que reciba el destinatario al cual
se ha enviado y que no le llegue a otro. y que existan sistemas y
pasos de emergencia alternativos de transmisión entre diferentes puntos
Protección física de
acceso a las redes
Independientemente de las
medidas que se adopten para proteger a los equipos de una red de área
local y el software que reside en ellos, se deben tomar medidas que
impidan que usuarios no autorizados puedan acceder. Las medidas habituales
dependen del medio físico a proteger.
Redes cableadas
Las rosetas de conexión
de los edificios deben estar protegidas y vigiladas. Una
medida básica es evitar tener puntos de red conectados a los switches.
Aun así, siempre puede
ser sustituido un equipo por otro no autorizado con lo que hacen falta medidas
adicionales: norma de acceso 802.1x, listas de control de acceso por MAC addresses servidores de DHCP por asignación reservada, etc.
Redes inalámbricas:
En este caso el control
físico se hace más difícil, si bien se pueden tomar medidas de contención de la
emisión electromagnética para circunscribirla a aquellos lugares que
consideremos apropiados y seguros .Además se consideran medidas de calidad el
uso del cifrado ( WPA, WPA
v.2, uso de certificados digitales, etc.), contraseñas
compartidas y, también en este caso, los filtros de direcciones MAC, son
varias de las medidas habituales que cuando se aplican conjuntamente
aumentan la seguridad de forma considerable frente al uso de un único método.
Sanitización
Proceso lógico y/o
físico mediante el cual se remueve información considerada sensible o
confidencial de un medio ya sea físico o magnético, ya sea con el objeto
de desclasificarlo, reutilizar el medio o destruir el medio en el cual
se encuentra.
RISKOFDERM. Evaluación
del riesgo por exposición dérmica laboral a sustancias químicas. Versión
1.0. “Novedad”
PVCHECK. Evaluación de puestos con pantalla de
visualización. Versión 2.0. (zip, 26,86 Mbytes)
Esta aplicación informática tiene por objeto facilitar el análisis y
evaluación sistemática de puestos equipados con pantallas de visualización de
datos, en cumplimiento de la Directiva 90/270/CEE, transpuesta a nuestro
ordenamiento jurídico por el RD 488/1997.
Esta
aplicación informática es una herramienta para la identificación y evaluación
de los factores psicosociales. Su objetivo es aportar información para poder
identificar cuáles son los factores de riesgo en una situación determinada,
permitiendo el diagnóstico psicosocial de una empresa o de áreas parciales de
la misma, a partir de los cuestionarios de aplicación individual. También
incluye información de utilidad práctica para orientar las medidas de
intervención que deberían llevarse a cabo en la empresa en el ámbito
psicosocial.
