Bienvenido a nuestro Blog!

Seguridad en Computación e Informática

Auditoria de Sistemas

Ing. Oscar Mujica Ruiz

Colaboradores:

Alumnos B 5-5

UNFV-FIIS-2011

sábado, 21 de mayo de 2011

Ciclo de Deming & Seguridad

El aspecto de la seguridad de información afecta a todas las organizaciones de todos los tamaños y sectores con un problema idéntico, su vulnerabilidad inherente.
Toda la información que se maneje en la empresa, ya sea en discos, papeles, en la memoria de los empleados, están en riesgo y de cualquier amenaza.
La seguridad de Información ya no es un problema solo de los administradores de TI, ya que un infracción de seguridad puede afectar no solo financieramente al organización, sino también su reputación, su capacidad de negociación, rentabilidad, etc.  por  lo tanto dependerá de su capacidad de gestionar los riesgos de manera eficaz.

ISO 31000:2009 Risk Management

El riesgo se halla de forma implícita asociado a toda actividad, haciendo necesaria la implementación de una estrategia proactiva en las empresas, que no solo permita la identificación y la evaluación previa y sistemática de los mismos y sus consecuencias, sino también definir las acciones a seguir con el fin de evitarlos, transferirlos, asumirlos o implementar medidas de prevención y protección que permitan reducir la probabilidad de su ocurrencia.

La Organización Internacional para la Estandarización (ISO) ha puesto a  disposición la norma ISO 31000:2009, una norma que pretende dar un enfoque sobre la gestión general de los riesgos. La nueva norma acaba de ver la luz sólo en versión inglesa y francesa, por lo que habrá que esperar todavía un tiempo a la traducción oficial al español.

viernes, 20 de mayo de 2011

Gobierno de Seguridad de Información

El Gobierno de Seguridad de la Información (GSI) es el grupo de responsabilidades y acciones llevadas a cabo por un conjunto de directivos con el fin de proporcionar orientación táctica, confirmar que las metas se logren corroborar que los riesgos de los datos sean convenientemente manejados, y los capitales se utilicen de manera conveniente.
En resumen, el propósito básico de un GSDDI es disminuir los acontecimientos adversos para una entidad productiva a un nivel mínimo.
Se refiere a la protección de las infraestructuras de las tecnologías de la información y comunicación que soporta nuestro negocio.
Se refiere a la protección de los activos de

Control de Seguridad

Hoy en día la rápida evolución del entorno técnico requiere que las organizaciones adopten un conjunto mínimo de controles de seguridad para proteger su información y sistemas de información. El propósito del plan de seguridad del sistema es proporcionar una visión general de los requisitos de seguridad del sistema y se describen los controles en el lugar o los previstos para cumplir esos requisitos. Para esto, existe un plan de seguridad del sistema que delinea las responsabilidades y el comportamiento esperado de todos los individuos que acceden al sistema.

Replay Attack

El replay attack, ataque por reenvío o reproducción, básicamente consiste en capturar información (transmisión de datos) que viaja en una red predeterminada, y luego enviarla al destinatario original sin que su presencia se haga notar. Por esta definición fácilmente se puede confundir con la definición de otro método: “man in the middle”. En realidad se diría que el método man in the middle engloba al método “replay attack”, salvando algunas diferencias que a continuación se hacen presentes:
La diferencia entre el “man in the middle” y el “replay attack”,

Estrategia de Seguridad & Organización

La cultura organizacional ha ofrecido algún tipo de directriz que sirve de referencia para entender de que manera las estrategias fluyen de manera efectiva en una organización.

Las tendencias actuales de las estrategias de seguridad de la información están basadas en aspectos que ayudan a definir la misión, dirección de la empresa y su plan estratégico.

La estrategia que la organización

Man in the Middle

MITM es un ataque en el que el enemigo adquiere la capacidad de leer, insertar y modificar a voluntad, los mensajes entre dos partes sin que ninguna de ellas conozca que el enlace entre ellos ha sido violado. El atacante debe ser capaz de observar e interceptar mensajes entre las dos víctimas. El ataque MitM es particularmente significativo en el protocolo original de intercambio de claves de Diffie-Hellman, cuando éste se emplea sin autenticidad.
Main in the Middle traducido al español seria “Hombre en el medio” se refiere a que existe alguien en medio de la comunicación entre el origen y el destino.

El atacante puede observar, interceptar, modificar y retransmitir la información lo que da origen a los siguientes posibles ataques

jueves, 19 de mayo de 2011

Destrucción de Soportes Documentales

  DEFINICIÓN:
Medios en los cuales se contiene la información, según los materiales empleados. Además de los archivos en papel, existen los archivos audiovisuales, fotográficos, fílmicos, informáticos, orales y sonoros.
Por ejemplo; dentro del área de sistemas de una organización encontramos información de su cliente, almacenadas en sus servidores. 
·         Lo que define a la destrucción de archivos confidenciales es, primero que nada, su carácter irreversible, es decir capaz de garantizar que no existan posibilidades de que pueden ser salvados los soportes en donde se contenía la información confidencial.

·         Segundo, ese proceso depurativo, con respecto a la administración de una entidad productiva, debe de ser seguro y privado, lo cual significa que durante

Gestión de Riesgo

La realidad empresarial nos dice que la mayoría de las compañías, administraciones autonómicas o locales y ciudadanos apenas conocen los peligros que corren sus sistemas informáticos, no explotan en su totalidad la amplia gama de herramientas que existen para gestionar dichas situaciones, y tampoco han comenzado a implementar los conocimientos y los procesos necesarios para gestionar este tipo de riesgos.

Las corporaciones han sufrido en parte, porque la gestión de riesgos en tecnologías de información es un campo nuevo y emergente, en donde los modelos de riesgos tradicionales no se aplican siempre con total limpieza. Normalmente, las corporaciones suelen tener un conocimiento muy limitado del impacto que puede tener la pérdida de los bienes informáticos o la imposibilidad para acceder a sus aplicaciones o información. Por ejemplo, la capacidad para transferir riesgos es un concepto fundamental en materia de riesgos financieros; sin embargo, como en los mercados líquidos no es posible todavía comprar y vender riesgos informáticos,

sábado, 14 de mayo de 2011

Phishing

Phishing es un término informático que denomina un tipo de delito encuadrado dentro del ámbito de las estafas cibernéticas, y que se comete mediante el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria). El estafador, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea[] o incluso utilizando también llamadas telefónicas.
Se define al Phishing como la capacidad de duplicar una página web para hacer creer al visitante que se encuentra en el sitio web original, en lugar del falso. Normalmente, se utiliza con fines delictivos enviado SPAM e invitando acceder a la página señuelo.

El "phishing" es una modalidad de estafa con el objetivo de intentar obtener de un usuario sus datos, claves, cuentas bancarias, números de tarjeta de crédito, identidades, etc.

Delitos Informáticos

El fenómeno informático es una realidad incuestionable e irreversible; definitivamente, la informática se ha instalado entre nosotros para no marcharse jamás. Ello es consecuencia del continuo y progresivo desarrollo del campo de la informática aplicada en la actualidad a todos los aspectos de la vida cotidiana; así, por ejemplo, la utilización de computador as en la industria, el comercio, la administración pública, en instituciones bancarias y financieras.

Esta verdadera invasión de la computadora en todos los ámbitos de las relaciones socioeconómicas ha motivado que muchos hablen ya de una auténtica “era informática”. En efecto, pocas dimensiones de nuestra vida no se ven afectadas, dirigidas o controladas por la computadora, ya sea de manera directa o

Ingeniería Social

Cada vez más y más empresas implementan tecnologías para proteger sus recursos informáticos, para protegerse de toda invasión externa (hackers, espías industriales, etc.) y mantienen una fuerza de seguridad física efectiva para protegerse contra las entradas no autorizadas, pero se presta muy poca atención a contraatacar las amenazas que suponen los ingenieros sociales.
Y el usuario común tampoco está exento de este tipo de práctica, el acceso a sus redes sociales, cuentas bancarias  o inclusive a su propio ordenador, solo es cuestión de manipulación y tiempo.
¿Qué es?
La Ingeniera Social  es la práctica para obtener información a través de la manipulación (engaño, estafa, tretas, etc.) de los deseos, sentimientos, creencias  e impulsos de la persona.

Keylogger

Seguramente muchos estarán atentos a los riesgos que se tienen por navegar constantemente por la red de redes, y la necesidad de contar con un antivirus actualizado es prácticamente una de las tareas principales que se deben llevar a cabo, sobre todo ante la amenaza de Keylogger, un tipo de archivos malicioso que explicaremos a continuación.
Una de las formas más primitivas (aún vigente) a la hora de robar datos personales utilizando computadoras es la utilización de un programa de tipo Keylogger, que tiene la simple y maliciosa utilidad de almacenar todo lo que un usuario realiza a través de sus periféricos, siendo el más frecuente el registro de las actividades con el teclado.
En un principio, por cuestiones de infraestructura en redes, las infecciones de los equipos eran realizadas “en forma manual”, con la distribución de los actualmente obsoletos diskettes que iban pasando de mano en mano e infectaban a aquellos ordenadores “conocidos”,

Pharming

Un peligro relativamente nuevo  empieza a dañar el ciberespacio. El fraude a las  operaciones en línea es un hecho que se va incrementando día a día, ya sea en el rubro de la banca o el comercio electrónico. Estos fraudes se cometían mayormente bajo la modalidad de phishing aunque en la actualidad otro método mucho más complejo y difícil de detectar circula por internet, el pharming

Contenido
¿Qué es el pharming?
Es una nueva modalidad de fraude que consiste en alterar el DNS (servicio de nombres de dominio)  con código malicioso  para dirigir a sitios web falsos con la intención de apoderarse  de  información sensible de los usuarios  para cometer fraudes.

Interrupción de Servicios

Actualmente las organizaciones empresariales soportan su actividad de negocio en tecnología de la información y de la comunicación, por lo que necesitan dotar a sus sistemas e infraestructuras informáticas de las políticas y medidas de protección que garanticen el desarrollo y la sostenibilidad de sus actividades de negocio. Mantener la confidencialidad, la integridad, la disponibilidad y la usabilidad autorizada de la información cobra especial importancia y plantea la necesidad de disponer de profesionales capaces de gestionar, configurar y mantener la seguridad de los servicios ante amenazas presentes y futuras.

INTERRUPCIÓN. Es un ataque contra la disponibilidad, se da cuando un componente del sistema informático es destruido o se vuelve no disponible.

Privacidad

El término privacidad es muy usado en informática ya que deriva de una mala traducción del término inglés privacy. En castellano, el término legal que refleja este aspecto es la intimidad o derecho a la intimidad. El derecho a la intimidad es el derecho que tienen las personas de poder excluir a las demás personas del conocimiento de su vida personal y la facultad para determinar en qué medida esa información sobre su vida personal puede ser comunicada o tratada por otras personas. Aunque el derecho a la intimidad abarca muchos aspectos legales de la vida personal, este artículo se centra en los aspectos que afectan a esta intimidad debido al tratamiento informático de la información personal.

miércoles, 11 de mayo de 2011

Confidencialidad


Hoy en día todas las organizaciones ya sean pequeñas, medianas o grandes cuentan con cierta cantidad de información que son una fuente importante y hasta en muchos casos la parte vital en toda empresa ya que en ella está contenida:

-          Información de clientes
-          Productos, estrategias
-          Planes, objetivos
-          Proyectos de desarrollo
-          Estudios de mercado
-          Información estratégica y financiera
Se debe conservar la confidencialidad como objetivo primordial de del sistema de seguridad.

"Confidencialidad consiste en limitar el acceso a información a aquellos a quienes  tienen ya sea un permiso legal o ético para acceder a esta."
¿Qué entendemos por Información Confidencial?
 La información confidencial es aquella que el empresario puede considerar ya sea un documento o algún archivo que a criterio suyo crea que influye de manera directa o indirecta al desarrollo del negocio como estrategias empresariales, métodos de negocio, documentos contractuales, propiedad intelectual, patentes, desarrollo de nuevos productos, etc.

Twitter Delicious Facebook Digg Stumbleupon Favorites More

 
Design by Free WordPress Themes | Bloggerized by Blogger Templates - Premium Blogger Themes