A10_E4

Vista previa del material en texto

IT - Governence | Equipo 4
	
 INSTITUTO POLITÉCNICO NACIONAL
 ESCUELA SUPERIOR DE CÓMPUTO
Actividad 10: Seguridad de la información
Maestra: Guzmán Flores Jessie Paulina. Materia: IT Governence. Fecha de entrega: domingo, 27/11/22. Grupo: 3CM13.
Equipo: 
· Briseño Lira Andrés (Compilador)
· López Reyna Bryan Ricardo (Evaluador) 
· Ortiz Rincón Christian Fernando (Revisor)
· Pérez Vidales Yesua David (Alertas)
· Reyes Rebollo Angel de Jesus (Compilador)
· Valenzuela Góngora Eric Alejandro (Entregas)
Introducción
La Seguridad de la Información se refiere a la protección de los datos que personas y empresas manejan diariamente y a la práctica que asegura que la información sensible sólo puede ser accedida por sus dueños; es un gran aliado para las empresas, ya que se encarga de evitar que cualquier persona distribuya indebidamente datos sobre ventas, márgenes de ganancia, competencia, entre otros; también es importante para los usuarios de dispositivos tecnológicos y que tienen acceso a la internet, para que nadie que pueda tener acceso a fotos, vídeos, información personal.
1. ¿Qué es seguridad de la información? La seguridad de la información es el conjunto de medidas y técnicas utilizadas para controlar y salvaguardar todos los datos que se manejan dentro de la organización y asegurar que los datos no salgan del sistema que ha establecido la organización. Es una pieza clave para que las empresas puedan llevar a cabo sus operaciones, ya que los datos que maneja son esenciales para la actividad que desarrollan. De forma mayoritaria, los sistemas de las organizaciones se basan en las nuevas tecnologías, no podemos confundir seguridad de la información y seguridad informática que, si bien están íntimamente relacionadas, no siendo el mismo concepto. Es importante comprender que cualquier organización, independientemente de su tamaño, cuenta con dato confidenciales, bien de sus clientes, bien de sus trabajadores o bien de ambos, y que por ello tiene que establecer las medidas de seguridad en protección de datos necesarios para garantizar el correcto tratamiento de estos.
2. ¿Cuáles son los protocolos de seguridad en entornos: físicos, lógicos y organizacionales?
· Físicos: Utilizar firewall y VPN.
· Lógicos: Respaldo de la información y cifrado de los datos.
· Organizacionales: La ISO 27001:2013 es la norma internacional que proporciona un marco de trabajo para los sistemas de gestión de seguridad de la información (SGSI) con el fin de proporcionar confidencialidad, integridad y disponibilidad continuada de la información, así como cumplimiento legal. [2]
3. ¿Cuáles son los puntos críticos en redes de información?
1. Automatización
Con los ambientes virtuales de hoy día, las empresas siempre están añadiendo, cambiando y moviendo dispositivos y usuarios. Ya que los flujos de trabajo se re-enrutan automáticamente entre los recursos que cambian rápidamente y en cuestión de minutos, la seguridad debe esforzarse por mantenerse actualizada. El reto es que la mayoría de las medidas de seguridad son procedimientos complejos que han sido implementados manualmente. Los equipos de seguridad de TI simplemente no pueden mantenerse al día con los cambios de las políticas que se modifican conforme las redes los van requiriendo. Desafortunadamente, también son propensos a cometer errores. 
2. Control
Gartner proyecta que el número de dispositivos conectados y en uso en todo el mundo alcanzará los 20,8 mil millones para el 2020. Si el número continúa aumentando, también lo hará la superficie de ataque. Este crecimiento exponencial es una causa que preocupa a muchos CIOs, ya que ellos siempre están luchando por saber cómo y dónde desplegar sus soluciones de seguridad.
3. Consolidación
Mientras los dispositivos de seguridad son desplegados, uno de los desafíos más grandes que enfrentan las empresas de servicios financieros es la clasificación a través de toda la información disponible. Conforme se añaden nuevos dispositivos, también lo hacen las herramientas para reportes y las consolas de administración, dejando al CIO y a su equipo anhelando por una vista unificada de lo que está pasando a lo largo y ancho de la red.
Recolectar inteligencia y frustrar las amenazas avanzadas dentro de un ambiente complejo y conformado por dispositivos adquiridos a diferentes proveedores, regularmente se reduce a correlacionar la información y a realizar los análisis de amenazas de forma manual, además de algún golpe de suerte. Por esta razón, es común que las amenazas avanzadas permanezcan por meses dentro de una red comprometida antes de ser detectadas.
Es importante recordar lo siguiente: la complejidad operativa, aun cuando involucre dispositivos de seguridad, con frecuencia trabaja en favor del atacante. 
4. Flexibilidad
La nube permite que las empresas financieras sean flexibles y aumenten o disminuyan su accesibilidad de forma dinámica conforme a la demanda. Esto lleva el reto hacia un punto crítico para lograr una seguridad consistente. La pregunta ya no es: “¿nos movemos hacia la nube?” Ahora debe ser, “¿adoptamos un despliegue mixto, híbrido, público o privado?” Y los problemas alrededor de la seguridad juegan un papel importante en esa respuesta.
Esta decisión es parcialmente determinada por el tamaño de la infraestructura ya existente. Pero también es una prioridad determinar qué tipo de estructura es menos importante y, por lo tanto, puede estar en la nube pública (lo que es menos costoso) vs. las áreas críticas que necesitan ser almacenadas en una nube privada (mayor costo). Además, ya que la nube y las soluciones de seguridad en las instalaciones raramente se comunican entre sí, las empresas deben evaluar si están cómodas con la reducción en la visibilidad y el control por sobre mantener la información en la nube pública.
La nube es un objetivo muy atractivo para los hackers debido a la demanda de las compañías por flexibilidad, a la cantidad de información financiera sensible que ahora es almacenada en ésta y al hueco que existe entre los ambientes de nube y la inteligencia de seguridad de la red.
4. ¿Cómo se implementa la seguridad de acceso?
En el campo de la seguridad, se llama sistema de control de acceso a cualquier tecnología que modere de forma intencional el acceso a activos digitales como, por ejemplo, redes, sitios web y recursos en la nube.
Los sistemas de control de acceso aplican principios de ciberseguridad como la autenticación y autorización para garantizar que los usuarios son quienes dicen ser y que tienen derecho a acceder a ciertos datos basándose en las directivas predeterminadas de identidad y acceso.
La tecnología de control de acceso basada en la nube aplica el control sobre todo el espacio digital de una organización, y opera con la eficiencia de la nube y sin el coste de ejecutar y mantener caros sistemas de control de acceso en las instalaciones.
El control de acceso ayuda a proteger contra el robo, la corrupción o filtración de datos garantizando que solo los usuarios cuyas identidades y credenciales se hayan verificado puedan acceder a determinada información.
El control de acceso regula de forma selectiva quién tiene permitido visualizar y usar determinados espacios o información. Existen dos tipos de control de acceso: físico y lógico.
El control de acceso físico se refiere a la restricción de acceso a una ubicación física. Se lleva a cabo mediante el uso de herramientas como cerraduras y llaves, puertas protegidas con contraseña y vigilancia por parte del personal de seguridad.
El control de acceso lógico se refiere a la restricción de acceso a los datos. Se lleva a cabo mediante técnicas de ciberseguridad como la identificación, autenticación y autorización.
El control de acceso es una característica de la filosofía de la seguridad moderna Confianza cero, que aplica técnicas como la verificación explícita y el acceso con menos privilegios para ayudar a proteger la informaciónconfidencial e impedir que caiga en malas manos.
El control de acceso depende en gran medida de dos principios clave; la autenticación y la autorización:
· La autenticación implica la identificación de un usuario en particular basándose en sus credenciales de inicio de sesión como nombres de usuario y contraseñas, exámenes biométricos, PIN o tokens de seguridad.
· La autorización hace referencia a la concesión del nivel apropiado de acceso a un usuario tal y como determinan las directivas de control de acceso. Estos procesos suelen estar automatizados.
5. ¿Qué herramientas y tecnologías existen para la seguridad de la información en los aspectos físicos, lógicos y organizacionales?
Son diversos protocolos de seguridad enfocados en la protección de redes, equipos e información confidencial de usuarios digitales. Las herramientas de seguridad informática se utilizan con el objetivo de combatir amenazas virtuales
Seguridad informática de hardware: protege al equipo de intromisiones no deseadas utilizando firewalls y servidores proxy que controlan el tráfico de red. Este tipo de seguridad informática logra identificar errores en la seguridad de los equipos desde la configuración y dispositivos de entrada y salida de datos.
Seguridad informática de software: es la encargada de proteger las aplicaciones y programas. Algunas medidas para lograrlo son los programas antivirus, los cortafuegos, filtros antispam, entre otras. [3]
Principales medios tecnológicos para una buena seguridad de la información.
· Antivirus
· Permite contar con medidas de protección efectivas ante la detección de malware u otros elementos maliciosos, por medio de ofrecer la posibilidad de eliminar las posibles amenazas o poner al dispositivo en estado de «cuarentena».
· Firewall perimetral de red
· Escanea los paquetes de red, permitiéndolos o bloqueándolos según las reglas definidas por un administrador.
· Servidor proxy
· Es un dispositivo o programa informático que actúa como intermediario entre las conexiones del navegador e Internet, filtrando todos los paquetes entre ambos. Permite establecer un sistema de autentificación, el cual limita el acceso a la red externa, cuenta con registros sobre sitios, visitas, entre otros datos.
· Cifrado de punto final
· Es un proceso de codificación de datos para que no pueda ser leído o utilizado por nadie que no tenga la clave de descifrado correcta. En esencia, protege los sistemas operativos de la instalación de archivos de arranque corruptos, bloqueando los archivos almacenados en computadores, servidores, entre otros puntos finales.
· Escáner de vulnerabilidades:
· Consiste en un software que se encarga de detectar, analizar y gestionar los puntos débiles del sistema. Puede mantener controlada la exposición de los recursos empresariales a las amenazas de ciberseguridad y sus posibles consecuencias.[4]
Herramientas organizacionales
Algunas técnicas para mejorar la seguridad de la información son:
Medidas de seguridad técnica, las cuales comprenden:
· Es establecer controles orientados a definir la operación correcta y segura de los medios de procesamiento de información, tanto para la gestión interna, como la que se lleva a cabo con terceros.
· Generar un esquema de privilegios para que el usuario lleve a cabo las actividades que requiere con motivo de sus funciones.
· Revisar la configuración de seguridad en la adquisición, operación, desarrollo y mantenimiento del software y hardware.[5]
Medidas de Seguridad física, las cuales comprenden:
· Prevenir el acceso no autorizado al perímetro de la organización, sus instalaciones físicas, áreas críticas, recursos e información.
· Prevenir el daño o interferencia a las instalaciones físicas, áreas críticas de la organización, recursos e información.
· Proteger los recursos móviles, portátiles y cualquier soporte físico o electrónico, que pueda salir de las instalaciones de la organización.[5]
Medidas de seguridad administrativa, las cuales comprenden:
· Política de seguridad. Definición de directrices estratégicas en materia de seguridad de activos, alineadas a las atribuciones de las dependencias o entidades.
· Controles establecidos para evitar violaciones a la normatividad vigente, o la política de seguridad interna u obligaciones contractuales.
· Organización de la seguridad de la información. Establecimiento de controles internos y externos a través de los cuales se gestione la seguridad de activos.
· Clasificación y control de activos. Establecimiento de controles en materia de identificación, inventario, clasificación y valuación de activos conforme a la normatividad aplicable.
· Seguridad relacionada a los recursos humanos. Controles orientados a que el personal conozca el alcance de sus responsabilidades respecto a la seguridad de activos, antes, durante y al finalizar la relación laboral.
· Administración de incidentes. Implementación de controles enfocados a la gestión de incidentes presentes y futuros que puedan afectar la integridad, confidencialidad y disponibilidad de la información.[5]
Conceptos clave e introducción a la seguridad de la información
Organizador de la quinta pregunta
Conclusiones
Con base en lo expuesto en estas preguntas logramos ver lo vulnerable que es la información y todas las consideraciones que debemos de tener en el tratamiento de la misma, desde considerar el protocolo ISO 27001, hasta los puntos o capas donde puede ser vulnerada la información, con todas estas características es que debemos que desarrollar sistemas que protejan la confidencialidad e integridad d ellos datos.
Referencias
[1] Titulo: ¿Qué es seguridad de la información y cuantos tipos hay?; Autor: Seguridad de la información; Link: https://www.pmg-ssi.com/2021/03/que-es-la-seguridad-de-la-informacion-y-cuantos-tipos-hay/ 
[2] Titulo: ISO 27001: Sistemas de gestión de seguridad de la información; Autor: Organismo de Certificación Global; Link: https://www.nqa.com/es-mx/certification/standards/iso-27001
[3] ¿Cuáles son las mejores Herramientas de Seguridad Informática? (2022) Saint Leo. Available at: https://worldcampus.saintleo.edu/noticias/cuales-son-las-mejores-herramientas-de-seguridad-informatica (Accessed: November 25, 2022). 
[4] Herramientas de Seguridad Informática Claves en Empresas (2020) Hacknoid. Available at: https://www.hacknoid.com/hacknoid/5-herramientas-de-seguridad-informatica-claves-en-empresas/ (Accessed: November 25, 2022). 
[5] López de la Torre, A.C. (no date) Medidas de seguridad para la protección de datos personales, IDAIP. Available at: https://www.idaip.org.mx/archivos/formatos/Promocion_Vinculacion/Gu%C3%ADa%20medidas%20de%20seguridad.pdf (Accessed: November 25, 2022). 
2