Instituto Tecnológico Superior “Aloasí”

Carrera de Tecnología en Análisis de Sistemas

Tercero Nivel (Vespertino)

ASIGNATURA:

Metodología de la investigación

TEMA:

Seguridad Informática

INTEGRANTES:

Juan Carlos Palma

Jhonathan Gutiérrez

DOCENTE:

Mg. Jorge Gómez.

Quito – Ecuador

Julio – 2016

TABLA DE CONTENIDOS

TABLA DE ILUSTRACIONES................................................................................................2

TEMA.........................................................................................................................................3

TITULO......................................................................................................................................3

INTRODUCCION........................................................................................................................3

OBJETIVO GENERAL..................................................................................................................4

OBJETIVO ESPESIFICOS.............................................................................................................4

ELEMENTOS DEL PLAN TAMIENTO DEL TEMA...........................................................5

PREGUNTAS DE INVESTIGACION..........................................................................................5

JUSTIFIACION........................................................................................................................5

VIABILIDAD...........................................................................................................................6

MARCO TEORICO..................................................................................................................7

LA SEGURIDAD INFORMÁTICA..................................................................................................7

AMENAZAS EN SEGURIDAD INFORMÁTICA..............................................................................9

TIPOS DE AMENAZA..............................................................................................................9

AMENAZAS LÓGICAS:...............................................................................................................9

AMENAZAS FÍSICAS:.................................................................................................................9

COMO APLICAR LA SEGURIDAD INFORMATICA:.......................................................................9

LA SEGURIDAD INFORMÁTICA DEBE GARANTIZAR.................................................................10

NUESTRA PROPUESTA............................................................................................................10

CARACTERÍSTICAS:............................................................................................................10

VENTAJAS...............................................................................................................................11

DESVENTAJAS.........................................................................................................................11

LOS RETOS A LOS QUE SE ENFRENTA LA SEGURIDAD INFORMÁTICA.....................................11

INVERTIR EN SEGURIDAD INFORMÁTICA...........................................................................12

CONCLUCIONES...................................................................................................................13

Conclusión y enlaces..............................................................................................................13

RECOMENDACIONES..........................................................................................................13

BIBLIOGRAFIA......................................................................................................................14

TABLA DE ILUSTRACIONES

Ilustración 1: PLANIFICIONIlustración 2: INFORMACION………………………………………………………

TEMASEGUERIDAD INFORMATICA

TITULO

DISEÑO DE UN PLAN ESTRATEGICO DE SEGURIDAD DE INFORMACION EN EL I.T.S.A EN EL PERIODO 2016-2017

INTRODUCCION

Existen muchas definiciones del término seguridad. Simplificando, y en general, podemos definir la seguridad como: "Característica que indica que un sistema está libre de todo peligro, daño o riesgo." (Villalón)”

Cuando hablamos de seguridad de la información estamos indicando que dicha información tiene una relevancia especial en un contexto determinado y que, por tanto, hay que proteger.

La Seguridad de la Información se puede definir como conjunto de medidas técnicas, organizativas y legales que permiten a la organización asegurar la confidencialidad, integridad y disponibilidad de su sistema de información.

Hasta la aparición y difusión del uso de los sistemas informáticos, toda la información de interés de una organización se guardaba en papel y se almacenaba en grandes cantidades de abultados archivadores. Datos de los clientes o proveedores de la organización, o de los empleados quedaban registrados en papel, con todos los problemas que luego acarreaba su almacenaje, transporte, acceso y procesado.

Los sistemas informáticos permiten la digitalización de todo este volumen de información reduciendo el espacio ocupado, pero, sobre todo, facilitando su análisis y procesado. Se gana en 'espacio', acceso, rapidez en el procesado de dicha información y mejoras en la presentación de dicha información.

Pero aparecen otros problemas ligados a esas facilidades. Si es más fácil transportar la información también hay más posibilidades de que desaparezca 'por el camino'. Si es más fácil acceder a ella también es más fácil modificar su contenido, etc.

Desde la aparición de los grandes sistemas aislados hasta nuestros días, en los que el trabajo en red es lo habitual, los problemas derivados de la seguridad de la información han ido también cambiando, evolucionando, pero están ahí y las soluciones han tenido que ir adaptándose a los nuevos requerimientos técnicos. Aumenta la sofisticación en el ataque y ello aumenta la complejidad de la solución, pero la esencia es la misma.

Ilustración 1: PLANIFICION

OBJETIVO GENERAL

• El objetivo: de la seguridad informática es mantener la Integridad, Disponibilidad, Privacidad, Control y Autenticidad de la información manejada por computadora.

OBJETIVO ESPESIFICOS

• Confidencialidad: consiste en la capacidad de garantizar que la información, almacenada en el sistema informático o transmitido por la red, solamente va a estar disponible para aquellas personas autorizadas a acceder a dicha información, es decir, que si los contenidos cayesen en manos ajenas, estas no podrían acceder a la información o a su interpretación. Este es uno de los principales problemas a los que se enfrentan muchas empresas; en los últimos años se ha incrementado el robo de los portátiles con la consecuente pérdida de información confidencial, de clientes, líneas de negocio…etc.

• Disponibilidad: la definiremos como la capacidad de garantizar que tanto el sistema como los datos van a estar disponibles al usuario en todo momento. Pensemos, por ejemplo, en la importancia que tiene este objetivo para una empresa encargada de impartir ciclos formativos a distancia. Constantemente está recibiendo consultas, descargas a su sitio web, etc., por lo que siempre deberá estar disponible para sus usuarios.

• Integridad: diremos que es la capacidad de garantizar que los datos no han sido modificados desde su creación sin autorización. La información que disponemos es válida y consistente. Este objetivo es muy importante cuando estamos realizando trámites bancarios por Internet. Se deberá garantizar que ningún intruso pueda capturar y modificar los datos en tránsito.

ELEMENTOS DEL PLAN TAMIENTO DEL TEMA

OBJETIVO

No repudio: este objetivo garantiza la participación de las partes en una comunicación. En toda comunicación, existe un emisor y un receptor, por lo que podemos distinguir dos tipos de no repudio: a) No repudio en origen: garantiza que la persona que envía el mensaje no puede negar que es el emisor del mismo, ya que el receptor tendrá pruebas del envío. b) No repudio en destino: El receptor no puede negar que recibió el mensaje, porque el emisor tiene pruebas de la recepción del mismo. Este servicio es muy importante en las transacciones comerciales por Internet, ya que incrementa la confianza entre las partes en las comunicaciones.

PREGUNTAS DE INVESTIGACION

¿Que cumple con los requisitos exigidos para ser considerado como un tema de tesis o de investigación?

¿Que sea de interés tanto para el investigador como para la comunidad científica?

¿Que sea útil :No todo lo interesante es útil. La utilidad consiste en los beneficios que traerá la investigación a la sociedad y no solo al cumplimiento de un requisito para optar a un nota de parcial o proyecto de instigación?

¿Debe contribuir a un nuevo enfoque de la problemática, es decir ser original o aportar elementos nuevos al conocimiento?

JUSTIFIACION

Vivimos en un mundo donde la tecnología es parte fundamental del quehacer de las sociedades en todos los aspectos de la vida, el uso de la tecnología generó un fuerte cambio en la forma de socializar y de aprender, pero sobre todo en la forma de hacer negocios.

El uso de la tecnología implica nuevos retos para la actividad económica de una organización y dependerá de la eficiencia y eficacia, en la implementación de la misma en los procesos del negocio, que permitirá obtener de ella el beneficio esperado.

La seguridad de la información surge como un complemento precisamente para asegurar que la información tenga los niveles adecuados de protección, asegurando su Confidencialidad, Integridad y Disponibilidad.

La creciente cantidad de amenazas que sufren las organizaciones en su infraestructura tecnológica hace que crezca la necesidad de contratar personal capacitado o capacitar al personal con el que ya se cuenta, para crear un área encargada de hacerle frente a dichas amenazas, minimizando el riesgo y el impacto para el I.T.S.A.

VIABILIDAD

La seguridad informática consiste en asegurar que los recursos del sistema de información (material informático o programas) de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida, así como su modificación, sólo sea posible a las personas que se encuentren acreditadas y dentro de los límites de su autorización.

Podemos entender como seguridad un estado de cualquier tipo de información (informático o no) que nos indica que ese sistema está libre de peligro, daño o riesgo. Se entiende como peligro o daño todo aquello que pueda afectar su funcionamiento directo o los resultados que se obtienen del mismo. Para la mayoría de los expertos el concepto de seguridad en la informática es utópico porque no existe un sistema 100% seguro.

La seguridad informática consiste en asegurar que los recursos del sistema de información (material informático o programas) de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida, así como su modificación, sólo sea posible a las personas que se encuentren acreditadas y dentro de los límites de su autorización.

Para que un sistema se pueda definir como seguro debe tener estas cuatro características:

Integridad: La información sólo puede ser modificada por quien está autorizado y de manera controlada.

Confidencialidad: La información sólo debe ser legible para los autorizados.

Disponibilidad: Debe estar disponible cuando se necesita.

Irreductibilidad (No repudio): El uso y/o modificación de la información por

parte de un usuario debe ser irrefutable, es decir, que el usuario no puede negar dicha acción.

Dependiendo de las fuentes de amenaza, la seguridad puede dividirse en tres partes: seguridad física, seguridad ambiental y seguridad lógica.

MARCO TEORICO

LA SEGURIDAD INFORMÁTICA

Toda organización debe estar a la vanguardia de los procesos de cambio donde disponer de información continua, confiable y en tiempo, constituye una ventaja fundamental donde tener información es tener poder donde la información se reconoce como:

Crítica, indispensable para garantizar la continuidad operativa de la organización es un activo corporativo que tiene valor en sí mismo que debe ser conocida por las personas que necesitan los datos

El Sistemas de Información debe ser el de preservar la Confidencialidad Asegurándose que la información es accesible sólo a las personas autorizadas proteger la información contra accesos o divulgación no autorizados la falta de confidencialidad puede darse por indiscreciones voluntarias e involuntarias en cualquier tipo de soporte y su no preservación puede tener las siguientes consecuencias

       Responsabilidad civil o administrativa        Pérdidas cualitativas en distintos campos          Deontología        Credibilidad        Prestigio          Imagen          Pérdidas de fondos patrimoniales:          Datos o programas no recuperables          Información confidencial          Pérdidas de explotación          Reducción de margen por falta de resultados o gastos suplementarios

     La amenaza La medida principal, de carácter preventivo, para preservar la confidencialidad a considerar en la concepción y desarrollo del sistema, es el diseño del control de accesos lógicos en su diseño se deben de tener en cuenta las siguientes consideraciones.

   Establecer los grupos de usuarios por niveles de seguridad, asignando a cada uno, los tipos de accesos permitidos lectura, modificación, tratamientos, periféricos

     El acceso lógico al entorno corporativo se realiza bajo el control del producto por lo tanto es preciso diseñar los controles Posibles grupos a considerar y las medidas de auditoría a implementar para la inclusión del sistema.

   Si las funcionalidades anteriores no se consideran suficientes será preciso crear un sistema de seguridad propio de la aplicación, diseñando

   El acceso a las distintas aplicaciones y sus funciones por medio del sistema general de menús

Nuevas funcionalidades, como por ejemplo, el control a nivel campos de transacción

  Las necesidades de administración del sistema a crear 

Los procedimientos de peticiones de autorizaciones de acceso al sistema

  En el diseño del sistema de control de accesos debe considerarse la posibilidad de establecer controles extraordinarios para acceder al sistema, como por

Especialización de terminales en entornos o transacciones especificas autorización por terminales

Especialización de terminales por perfiles de usuario

     Asignación de terminal a un usuario

   Utilización de dispositivos de acceso físico tarjetas, llaves, lector de huellas

Acceso con restricciones temporales

    No simultaneidad de terminales para un tipo de funcionalidad

   Inhabilitación del acceso por inactividad de terminal, utilización de protectores de pantalla con clave

    Inclusión dentro de la aplicación, como mínimo, del identificativo del usuario que realiza la transacción, incluyéndolo en la propia transacción sirve también como pista de auditoria terminal, fecha y hora.

  Se propondrá, en caso necesario, el sistema a implantar para la detección de intentos de violación, y las acciones a tomar investigación, bloqueos, revocaciones, suspensiones

   Se diseñaran las medidas a implantar para el control de las modificaciones en necesidades de acceso al sistema, como por bajas, traslados, personal externo

     La disponibilidad de la información del sistema para su tratamiento con herramientas de usuario final, puede acarrear la falta de confidencialidad de la misma. Por tanto, en el diseño del sistema se planteará el tipo posible de información a transferir al entorno microinformático así como las medidas indispensables para preservar su confidencialidad control de accesos con herramientas de usuario final, rastros a mantener en caso de transferencia de información a ordenadores personales.

AMENAZAS EN SEGURIDAD INFORMÁTICA

   El usuario que consciente o inconscientemente causa un problema de seguridad informática.

   Programas maliciosos como virus, troyanos, programas espía, botnets, etc.

   Un intruso que consigue acceder a los datos o programas a los cuales no tiene acceso permitido.

   Un incidente, como una inundación, un incendio o un robo que provocan la pérdida de equipos o información.

TIPOS DE AMENAZA

AMENAZAS LÓGICAS:

Intencionadas virus malware uso de herramientas acceso no autorizado software incorrecto provienen de errores cometidos de forma involuntaria por programas. (7)

(7) http://www.segu-info.com.ar/fisica/electronica.htm

AMENAZAS FÍSICAS:

Fallos en los dispositivo catástrofes naturales terremoto

COMO APLICAR LA SEGURIDAD INFORMATICA:

Generalmente la seguridad se concreta en garantizar el derecho a acceder a datos y recursos del sistema configurando los mecanismos de autentificación y control que

aseguran que los usuarios de estos recursos solo poseen los derechos que se les han otorgado.

LA SEGURIDAD INFORMÁTICA DEBE GARANTIZAR

       La Disponibilidad de los sistemas de información.        El Recupero rápido y completo de los sistemas de información        La Integridad de la información.        La Confidencialidad de la información.

NUESTRA PROPUESTA

       Implementación de políticas de Seguridad Informática        Identificación de problemas        Desarrollo del Plan de Seguridad Informática        Análisis de la seguridad en los equipos de computación        Principios de la Seguridad Informática

CARACTERÍSTICAS:

La seguridad informática consiste en asegurar que los recursos del sistema de información material informático o programas), sean utilizados de la manera más apropiada y que el acceso a la información allí contenida así como su modificación, sólo sea posible a través de las personas que se encuentren acreditadas y dentro de los límites de su autorización para que un sistema sea considerado seguro debe cumplir con las siguientes características.

   Integridad La información producida es de calidad porque no puede ser modificada por

quien no está autorizado.

  Confidencialidad La información solo debe ser elegible para los autorizados, la misma

debe llegar a destino con la cantidad y calidad con que fue prevista.

  Disponibilidad: la información debe estar disponible cuando se la necesita.

  Irreductibilidad No Rechazo Que no se pueda negar la autoría de quien provee de dicha

información. (28)

(28) Seguridad Práctica en UNIX e Internet, Segunda Edición, Simson Gar Finkel y

Spafford Gene, Mc. Graw Hill, 1999, Pag: 335.

VENTAJAS

La seguridad informática se encarga de seguridad la integridad y privacidad de la información de un sistema.

Crear buenas medidas de seguridad que evitan daños y problemas que puedan ocasionar intrusos.

Crear barreras de seguridad que son más que técnicas aplicaciones y dispositivos de seguridad y protección ejemplos Corta fuegos, Antivirus, Anti espías.

Encriptaciones y uso de contraseña que son las que protegen la información y los equipos de los usuarios.

DESVENTAJAS

La seguridad absoluta no es posible

En los equipos más desactualizados los antivirus pueden ser un problema para

hacerlo más lentos

Los requisitos para la creación de contraseñas cada vez son más complejos

LOS RETOS A LOS QUE SE ENFRENTA LA SEGURIDAD INFORMÁTICA

Controlar la navegación de los usuarios

Establecer políticas que regulen el uso de aplicaciones y el acceso a estas

Redes Sociales, Facebook, Twitter

Visualización de videos y TV, Youtube Escuchas de audio, Spotify, radios online

Juegos Online, Farm Ville

Mensajería instantánea: Skype, Messenger

Descargas P2P, Emule, Torrent, Megaupload

Controlar la fuga de información

Correos privados, Gmail, Hotmail

Control de dispositivos de almacenamiento extraíbles como Pen Drives USB y grabadoras

Encriptación de datos que se extraigan de las instalaciones

Prevenir ataques de hackers, virus, etc., mediante la instalación de un firewall UTM que aúnan muchas funcionalidades en un solo equipo.

INVERTIR EN SEGURIDAD INFORMÁTICA

Hoy en día debemos ser conscientes de que la seguridad informática es un área empresarial en la que es necesario invertir, puesto que las consecuencias de no hacerlo pueden ser devastadoras. (1)

Ilustración 2: INFORMACION

ENCUESTA Y RESULTADOS

(1) Introducción a la Computación, Primera Edición, Peter Norton, Mc Graw Hill pág: 50, 52,53.

ENCUESTA Y RESULTADOS

1. ¿Con que frecuencia utiliza el computador de escritorio?

A)  Menos de 4 horas al día

B)  Entre 4  y 6 horas al día

C)  Mas de 6 Horas al día

Menos de 4 horas al día 30%

Entre 4  y 6 horas al día 10%Más de 6 Horas al día 60%

Total 100%

Conclusiones:Casi el total del público encuestado afirma usar más de 6 horas al día el computador . Dicho público conformaría la demanda potencial.

2. ¿Qué usos le da a su computador de escritorio o notebook?

A)  Trabajo

B)  Entretención

C)  Social

D)  Comprar

Conclusiones:Un gran porcentaje del público encuestado (30%) afirma no tener preferencia por alguna opción particular, lo que brinda cierta factibilidad al hecho de lanzar una nueva estadística de porcentajes.

3. ¿Qué redes ocupa generalmente para conectarse a internet desde su dispositivo móvil?

A)  Wifi del hogar

B)  Wifi Público

Trabajo 30%Entretención 30%

Social 30%Comprar 10%

Total 100%

C)  Red 2G/3G/4G del dispositivo

D)  Red del lugar de estudio, trabajo o lugares confiables

A 20%

B 10%C 40%

D 30%Total 100%

Conclusiones:

Según los resultados, las principales razones por las que el público objetivo elige

una red de datos, aspectos a tomar en cuenta al momento de utilizar banda

ancha en su móvil.

4. ¿Qué usos le da a su dispositivo móvil?

A)  Llamadas

B)  Redes sociales

C)  Jugar

D)  Comprar

A 20%B 10%

C 20%D 50%

Total 100%

Conclusiones:Según los resultados, las principales razones por las que el público objetivo elige una comprar por internet es por qué es más barato que comprar físicamente.

5. Renueva Frecuentemente las contraseñas de sus cuentas

A)  Si

B)  No

Sí 40%

No 60%

Total 100%

Conclusiones:

Se observa una mayor preferencia por no cambiar sus contraseñas es el motivo

de la pereza o una fácil porque se vayan a olvidar esto comento la gente.

6. ¿Sabes que es un hacker? Elegí la opción correcta:

A) Personas maliciosas cuyo objetivo es introducirse ilegalmente en sistemas, crear

virus, robar información secreta y todo tipo de acciones similares, con fines

ilegales.

B) Personas con una gran capacidad para manejar todo aquello relacionado con los

sistemas informáticos.

A 30%

B 70%

Total 100%

Conclusiones:Según los resultados, la opción B es el motivo que tienes mucho conocimiento es informática pero solo llegan a lo básico.

7. ¿Estás informado acerca de las prevenciones que hay que tener para evitar el

acceso de un hacker u otra amenaza a tu ordenador?

A) SI

B) NO

Conclusiones:Un 80% del público encuestado afirma que estaría dispuesto a probar y formalizar una nueva estrategia para su comprador y no sea violado.

8. ¿Qué prevenciones tomas en el momento de darle seguridad a tu sistema?

A) Un antivirus actualizado

B) Un firewall instalado

C) Copias de seguridad de tus datos

D) Actualización del software con los parches de seguridad de los

fabricantes.

E) Actuar con prudencia (analizar cada vez que se recibe un correo

electrónico, evitar descargar programas de lugares no seguros,

mantenerse informado sobre las nuevas actualizaciones y aparición

de nuevos virus, etc.)

Conclusiones:El mayor porcentaje del público encuestado afirma que utiliza un virus que se actulice solo porque no tiene tiempo o no saben cómo se hace.

Sí 20%No 80%

Total 100%

A 30%

B 20%C 15%

D 10%E 25%

Total 100%

9. ¿Qué amenazas informáticas conoces?

a) Virus

b) Gusano

c) Troyano

d) Backdoor

e) Phishing

f) Spyware

g) Joke

Conclusiones:El mayor porcentaje del público encuestado afirma conocer de los virus y que pueden pasar si no los eliminas de inmediato.

10. ¿Sabes lo que debes hacer en caso de la entrada de una amenaza a tu equipo?A) SI

B) NO

Conclusiones:

Según los encuestados no saben qué hacer en un casa de amenaza a su computador por

eso hay más de la mitad.

11. ¿Conoces algún caso de hackeo a algún equipo o página web?

Virus 30%Gusano 10%

Troyano 10%Backdoor 10%

Phishing 20%Spyware 10%

Joke 10%Total 100%

Sí 60%

No 40%

Total 100%

A) SI

B) NO

A) No sabe / no opina

Sí

87%

No 9%No sabe / no opina 4%

Total 100%

Conclusiones:Según los resultados, el promedio de compra que no saben que es un hackeo por eso no opina acerca del tema.

CONCLUCIONES

Conclusión y enlaces

• En el proyecto hemos hecho una introducción general a la seguridad informática, los pilares sobre los que se basa y diferentes conceptos relacionados con la seguridad, como son vulnerabilidad, amenaza, ataque, etc.

• Hemos introducido también una primera herramienta relacionada con la detección de vulnerabilidades del sistema que podemos aplicar en el aula y conocer cuáles son las debilidades de nuestros sistemas para aplicar las medidas correctoras apropiadas. La herramienta es Nessus que es un clásico ya dentro de la seguridad y además disponible para diferentes plataformas.

Algunos portales importantes relacionados con seguridad, son:

http://www.securityfocus.com /

Es una de las bases de datos mas consultadas por los profesionales en seguridad informática por el contexto técnico aportado.

http://www.osvdb.org/

Esta base de datos tiene la mejor información sobre vulnerabilidades en el software open source.

http://secunia.com/

Sescuncia, tienen las mejores estadísticas de la aparición de vulnerabilidades por sistema operativo.

http://www.kb.cert.org/vuls/

Al igual que securityfocus, es una de las bases de datos mas consultadas por los profesionales en seguridad informática por el contexto técnico aportado.

http://www.zone-h.org

RECOMENDACIONES

Implementar un plan de contingencia para la Seguridad Informática, este será una herramienta imprescindible para la recuperación de información, este plan de contingencia debe contemplar tanto la seguridad física, como la seguridad lógica y estaría complementado con un plan de emergencia y con un plan de recuperación de la información.

Definir claramente los permisos y accesos de cada funcionario de la Organización y de todos los usuarios del sistema de información de la Organización.

BIBLIOGRAFIA

• 1. M. en C. Laura Itzelt Reyes Montiel, "Estudio, Diseño y Evaluación de Protocolos de Autenticación para Redes Inalámbricas", CINVESTAV, enero 2004. Supervisor: Dr. Francisco Rodríguez-Henríquez.

• 2. M. en C. Carlos Eduardo López Peza , "Sistema de Seguridad para Intercambio de Datos en Dispositivos Móviles", CINVESTAV, Abril 2005 Supervisor: Dr. Francisco Rodríguez-Henríquez.

• 3. M. en C. Guillermo Martínez Silva, "Diseño e Implementación de una Autoridad Certificadora en Plataformas Móviles", Tec de Monterrey campus Ciudad. de México, julio 2005. Supervisor: Dr. Francisco Rodríguez-Henríquez.

• 4. M. en C. Emmanuel López Trejo, "Implementación Eficiente en FPGA del Modo CCM usando AES", CINVESTAV, septiembre de 2005. Supervisor: Dr. Francisco Rodríguez-Henríquez.