PDF de programación - Educando en seguridad TI

GUÍA

EDUCANDO EN SEGURIDAD

TI

Preventivos



marzo 2012





El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format).

Se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de
idioma y orden de lectura adecuado.

Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la
sección Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es.

Educando en seguridad TI



2



ÍNDICE

INTRODUCCIÓN

ENFOQUES DE SEGURIDAD

ACCIDENTALMENTE O INTENCIONADAMENTE

3.1.

3.2.

3.3.

Desconocimiento y buenas prácticas

Incumplimiento de políticas de seguridad

El problema de los empleados VIP

BUENAS PRACTICAS Y POLÍTICAS DE SEGURIDAD

DOCUMENTO DE BUENAS PRACTICAS

1.

2.

3.

4.

5.



4

5

7

7

8

10

12

14

Educando en seguridad TI

3





1.

INTRODUCCIÓN

Hoy día, podemos afirmar sin temor a equivocarnos, que las organizaciones y las empresas,
pueden aprovechar las tecnologías de la información en su beneficio, pero también
debemos ser conscientes de los riesgos y amenazas asociados al uso de estas tecnologías
y conocer la forma en que las empresas y las organizaciones pueden enfrentarse a ellas.

Alcanzar un adecuado nivel de seguridad es una tarea que pasa por desarrollar acciones en
los distintos ámbitos de la materia, como son el técnico, el jurídico o normativo y el
organizativo. Pero además, las organizaciones y las empresas, las componen personas y
las estas son uno de los eslabones más importantes de la cadena de la seguridad y también
uno de los más débiles. Es por ello qué, implantar seguridad en las organizaciones, pasa
necesariamente por la formación e información a todas las personas que forman parte de
la organización, independientemente del tamaño de esta y del perfil al que pertenezca.

No importa si se trata de un autónomo, de una empresa de 5 empleados o de una
multinacional con miles de trabajadores repartidos por todo el mundo, todos deben disponer
de la información adecuada a su responsabilidad, sobre aspectos relacionados con la
seguridad, de forma que puedan desempeñar su actividad sin poner en peligro los activos
de la organización.

A lo largo de este informe, desarrollaremos dos conceptos muy importantes, como son las
buenas prácticas y las políticas de seguridad, dos herramientas fundamentales para
informar y formar en seguridad TIC.

Esperamos que este informe / guía, ayude a las empresas y en especial a las pymes, a
desarrollar acciones sencillas pero muy eficaces, que apenas requieren inversión, y que
pueden ayudar a mejorar el nivel de seguridad de forma muy significativa.



Educando en seguridad TI

4





2. ENFOQUES DE SEGURIDAD

La seguridad como concepto ha evolucionado a lo largo del
tiempo, comenzando con el enfoque de seguridad
informática, cuyo alcance estaba limitado a la protección de
infraestructuras, otorgándoles un gran
los sistemas e
protagonismo, por encima de otros activos, como
la
información.

La seguridad informática, carecía de metodologías y criterios
para el diseño, selección y aplicación de medidas de
seguridad. En este enfoque, se consideraba que, a través de
herramientas y medios técnicos era posible detener o
minimizar cualquier amenaza, alcanzando un nivel de
seguridad, que en muchas ocasiones, estaba por encima de las necesidades reales de la
organización o cuyas medidas eran implantadas sin un criterio claro o adecuado.

Con la proliferación de las redes de comunicaciones, el abaratamiento del acceso a Internet
y la aparición de los dispositivos portátiles, la naturaleza y ámbito de los sistemas a proteger
cambió, lo que trajo consigo una evolución del concepto de seguridad, que fue sustituido por
la seguridad de las tecnologías de la información y las comunicaciones o seguridad
TIC.

infraestructuras, como aquellas destinadas a

Este nuevo enfoque supuso una mejora sustancial respecto al anterior, puesto que no solo
incorporaba nuevos sistemas e
las
comunicaciones, sino que además, otorgaba
más importancia a la información como activo,
por encima de otros. Así mismo, comenzaron a
desarrollarse metodologías para el diseño,
selección e
implantación de medidas de
seguridad y la seguridad cada vez tenía más
importancia dentro de las organizaciones.

Poco a poco la seguridad comenzó a salir de los
departamentos técnicos y de sistemas, para
convertirse en un elemento
integrado en
cualquier actividad o proceso de negocio. Por
otro lado, la aparición de normativa y legislación relativa a las tecnologías de la información,
impulso el desarrollo del concepto de seguridad jurídica, así como la seguridad desde un
punto de vista organizativo.

Finalmente, todo ello se integró en un concepto nuevo, mucho más amplio y cuya
característica principal es considerar la información como el activo de mayor importancia y
en torno al cual se desarrolla toda una metodología con un único objetivo, proteger la
información.

Educando en seguridad TI

5





A continuación podemos ver un sencillo diagrama que muestra la evolución que ha seguido,
de forma muy simplificada, el concepto de seguridad.



Tal y como se ha indicado, la seguridad de la información desarrolla el concepto de
seguridad en torno al activo más importante de cualquier organización: la información. A
través de una metodología relativamente sencilla pero muy completa, se diseñan y
seleccionan las medidas de protección adecuadas, de acuerdo con criterios de importancia
de los activos a proteger, nivel de amenaza y riesgo al que están expuestos.

A través de esta metodología se busca alcanzar un nivel de seguridad adecuado y suficiente
para la organización, de forma progresiva, a través de fases o ciclos, en cada una de las
cuales va mejorando el nivel de seguridad hasta alcanzar el nivel deseado.

Una vez alcanzado dicho nivel, es necesario mantenerlo, ya
que las organizaciones cambian y evolucionan en el tiempo,
junto con su entorno, lo que supone que, una organización
que consideramos “segura” en el momento actual, no tiene
porque serlo dentro de un año.

Por todo ello, en la actualidad hablamos de Sistemas de
Gestión de la Seguridad de la Información (SGSI), de
forma que la seguridad es entendida como un sistema de
gestión y como parte de un proceso de mejora constante.

A lo largo de este documento vamos a tratar uno de los
ámbitos a los que hace referencia la seguridad de la
información, el organizativo, y concretamente vamos a ver
dos herramientas muy interesantes y efectivas, que pueden
ayudar a las empresas y organizaciones a alcanzar un nivel
de seguridad adecuado, pero también a mantenerlo: las
buenas prácticas y las políticas de seguridad.

Educando en seguridad TI

6





3. ACCIDENTALMENTE O INTENCIONADAMENTE

La mayoría de los incidentes de seguridad que se producen dentro de las organizaciones se
originan en los propios empleados por dos motivos principalmente: desconocimiento o de
forma intencionada.

El desconocimiento es una de las principales causas detrás de buena parte de los incidentes
de seguridad, pero en ocasiones el empleado sabe perfectamente lo que está haciendo y de
hecho, con su forma de proceder, está buscando provocar un incidente de seguridad,
motivado por la venganza o el beneficio económico.

En relación con lo anterior, a través de los siguientes apartados vamos a ver algunos casos
que suelen darse en las organizaciones y que de una u otra forma, suelen derivar en
incidentes de seguridad.

3.1. DESCONOCIMIENTO Y BUENAS PRÁCTICAS

El desconocimiento supone un riesgo potencial para la seguridad de
las organizaciones. El desconocimiento deriva en un uso inadecuado
e ineficaz de los recursos, pero sobre todo, es fuente de todo tipo de
incidentes de seguridad. El desconocimiento está asociado a la falta
información y formación por parte de los empleados.

Por otro lado, la ausencia de buenas prácticas, supone que es el
empleado por sí mismo, el que debe de dar los pasos adecuados y
realizar las actividades de la mejor forma posible, procurando no
poner en riesgo la seguridad de la organización, lo cual, por
desgracia, es demasiado suponer.

Ejemplos de incidentes cuyo origen está en el desconocimiento o en la falta de buenas
prácticas podemos encontrarlos en situaciones tan habituales como consultar el correo
electrónico o en el uso de las memorias USB en el entorno laboral. Es habitual que un
empleado, en el desempeño de su actividad se encuentre con mensajes que parecen
legítimos y auténticos, pero que contienen algún tipo de código malicioso, de forma que el
ordenador acaba siendo infectado.

El 'spam' supone el 80% del tráfico del correo electrónico

El correo electrónico se ha convertido en un elemento indispensable en el día a
día. S