Vista previa del material en texto
Seguridad Informática Unidad 3 ELEMENTOS DE PROTECCION INFORMATICA CONCEPTOS SOBRE DELITOS INFORMATICOS Protección Informática • El propósito de la PROTECCION INFORMATICA es salvaguardar los valiosos recursos de una organización, como información, hardware, y software. POLITICAS DE SEGURIDAD • Definen las actividades permitidas, los pasos a seguir para obtener una protección adecuada así como los pasos a seguir en caso de presentarse un incidente de seguridad. Planeación de las necesidades de seguridad. • Tipos de seguridad : • Confidencialidad • Integridad de los Datos • Disponibilidad • Consistencia • Control • Auditar Análisis de riesgos • ¿ Qué es lo que estoy tratando de proteger? • ¿ Qué es lo que necesito para protegerlo? • ¿ Cuánto tiempo, esfuerzo y dinero estoy dispuesto a dedicar para obtener un nivel adecuado de protección ? • Pasos básicos en el análisis de riesgos: • 1.- Identificación de recursos. • 2.- Identificación de amenazas. • 3.- Cálculo de riesgos. Rol de las Políticas de Seguridad • Las políticas juegan tres tipos de roles. El primero, aclarar que es lo que se requiere proteger y por qué. El segundo, establece de manera clara la responsabilidad para lograr esa protección. Tercero, provee la base sobre la que se interpreta y/o resuelve cualquier conflicto posterior Definición de una Política de Seguridad • La primera regla y la más importante es que toda política de seguridad debe de ser holística. Esto es, debe cubrir todos los aspectos relacionados con la misma. • La segunda regla importante: la política debe adecuarse a nuestras necesidades y recursos. Estrategia de Protección • Es conveniente pensar al establecer una política de protección en los distintos niveles que ésta debe abarcar: • Físico • Humano • Lógico • Logístico Nivel Físico • Se debe asegurar el sustrato físico del objeto de nuestra protección. Desde las precauciones básicas para evitar que agentes dañinos afecten a un ordenador hasta la protección del acceso a personas ajenas. • Ejemplos: • Condiciones medioambientales (temperatura, humedad, polvo, etc..) • Prevención de catástrofes (incendios, tormentas, cortes de fluido eléctrico, sobrecargas, tormentas, terremotos, etc.) • Limitación de acceso • Sistemas de recuperación • Interacciones entre los componentes del sistema Nivel humano • Los seres humanos implicados en la seguridad del sistema. De ellos no basta considerar sólo su relación con el mismo, sino también todos sus aspectos personales, humanos y psicológicos así como sus posibles motivaciones en su interacción. • el administrador o responsable directo del sistema • las personas que deben tener acceso al sistema como usuarios del mismo • las personas relacionadas con el mismo pero que no necesitan usarlo • las personas ajenas al sistema Nivel lógico • Este nivel incluye las medidas de acceso y políticas de empleo de los recursos protegidos, así como la distribución de la responsabilidad correspondiente a las personas con responsabilidades parciales. • Podemos centrarnos en dos aspectos fundamentales: • Reparto de responsabilidad • Control de acceso Reparto de responsabilidad • El primer aspecto a decidir es cómo se va a repartir la responsabilidad en el acceso a los recursos, es decir, qué personas van a tener acceso, y en qué medida. • Todo el mundo tiene acceso a todo • Dos niveles de acceso: privilegiado y normal • Varios niveles de acceso Niveles de Seguridad Nivel D • Nivel D1: Es la forma mas elemental de seguridad, en esta no hay proteccion disponible para el hardware, el sistema operativo se compromete con facilidad y no hay autenticación respecto al acceso de los usuarios Nivel C • Nivel C1: Sistema de proteccion discrecional, se refiere a la seguridad disponible en un sistema de Unix tipico. Los usuarios deben identificarse ante el sistema mediante su login y contraseña. Con esto se logra determinar los derechos de acceso a la informacion de cada usuario. • Nivel C2: Esta diseñado para resolver los problemas del C1, este ambiente tiene la capacidad de restringir aun mas el que los usuarios ejecuten ciertos o comandos o tengan acceso a ciertos archivos incorporando niveles de autorización Niveles B y A Nivel B1 El nivel B1, o protección de seguridad etiquetada, es el primer nivel que soporta seguridad de multinivel. Nivel B2 El nivel B2, conocido como protección estructurada, requiere que se etiquete cada objeto. Los dispositivos terminales podrán tener asignado un nivel sencillo o múltiple de seguridad. Este es primer nivel que empieza a referirse al problema de un objeto a un nivel más elevado de seguridad en comunicación con otro objeto a un nivel inferior Nivel B3 El nivel B3, o nivel de dominios con la instalación de hardware. Nivel A El nivel A, o nivel de diseño verificado, es hasta el momento el nivel más elevado de seguridad . Incluye un proceso grande de diseño, control y verificación. Para lograr este nivel de seguridad, todos los componente de los niveles inferiores deben incluirse; Control de acceso • Delegación absoluta para un ámbito geográfico limitado • Delegación de un área de responsabilidad funcional • Mezclas de las dos anteriores Nivel logístico • Un tratamiento adecuado debe no sólo tratar todos sus aspectos individuales, sino también considerar las interacciones entre sus elementos y la coordinación de los mismos. La forma de hacerlo es mediante el establecimiento de protocolos de trabajo y políticas comunes para coordinar la labor. DELITOS INFORMATICOS • Un delito informático o ciberdelito es toda aquella acción anti jurídica y culpable, que se da por vías informáticas o que tiene como objetivo destruir y dañar computadoras, medios electrónicos y redes de Internet. • Se clasifican bajo dos criterios: • 1. Como instrumento o medio • 2. Como fin u objetivo Delitos Informáticos Reconocidos • Manipulación de los datos de entrada • La manipulación de programas • Manipulación de los datos de salida • Fraude efectuado por manipulación informática • Daños o modificaciones de programas o datos computarizados.
