PDF de programación - Capítulo 5 - Introducción a la Gestión de la Seguridad

Capítulo 5

Introducción a la Gestión de la Seguridad

Seguridad Informática y Criptografía

Ultima actualización del archivo: 01/03/06
Este archivo tiene: 46 diapositivas

v 4.1

Material Docente de
Libre Distribución

Dr. Jorge Ramió Aguirre
Universidad Politécnica de Madrid

Este archivo forma parte de un curso completo sobre Seguridad Informática y Criptografía. Se autoriza el uso,
reproducción en computador y su impresión en papel, sólo con fines docentes y/o personales, respetando los
créditos del autor. Queda prohibida su comercialización, excepto la edición en venta en el Departamento de
Publicaciones de la Escuela Universitaria de Informática de la Universidad Politécnica de Madrid, España.

Curso de Seguridad Informática y Criptografía © JRA

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 133

Protección lógica y física de los datos

Los datos deben protegerse aplicando:
• Seguridad Lógica

– Uso de herramientas de protección de la información

en el mismo medio en el que se genera o transmite.
– Protocolos de autenticación entre cliente y servidor.
– Aplicación de herramientas de seguridad en redes.
– Se incluyen también medidas de prevención de riesgos

y la instauración de políticas de seguridad, de planes
de contingencia, de recuperación ante desastres,
aplicación de normativas, la legislación vigente, etc.

• Seguridad Física

– Procedimientos de protección física del sistema:
acceso personas, incendio, agua, terremotos, etc.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 134

La seguridad física en entornos de PCs

Temas a tener
en cuenta en un
entorno de PCs

Anclajes a mesas de trabajo.
Cerraduras en puertas.
Tarjetas con alarma.
Etiquetas con adhesivos especiales.
Bloqueo de unidades externas.
Protectores de teclado.
Tarjeta de control de acceso al hardware.
Sistema de suministro continuo de corriente.
Toma de tierra.
Eliminación de la estática... etc.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 135

Análisis de riesgo: plan estratégico

• Es el proceso de identificación y evaluación del riesgo a

sufrir un ataque y perder datos, tiempo y horas de
trabajo, comparándolo con el costo que significaría la
prevención de este suceso.

• Su análisis no sólo nos lleva a establecer un nivel

adecuado de seguridad, sino que permite conocer mejor
el sistema que vamos a proteger.

Le recomiendo descargar estas herramientas de libre distribución

para el análisis de riesgo desde las direcciones que se indican:

Magerit V 2

http://www.csi.map.es/csi/pg5m20.htm



Chinchon V 1.3

http://www.criptored.upm.es/software/sw_m214_01.htm



© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 136

Información del análisis de riesgo

•

Información que se obtiene en un análisis de riesgo:
– Determinación precisa de los recursos sensibles de la

organización.

– Identificación de las amenazas del sistema.
– Identificación de las vulnerabilidades específicas del

– Identificación de posibles pérdidas.
– Identificación de la probabilidad de ocurrencia de una

sistema.

pérdida.

– Derivación de contramedidas efectivas.
– Identificación de herramientas de seguridad.
– Implementación de un sistema de seguridad eficiente en

costes y tiempo.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 137

Ecuación básica del análisis de riesgo

¿ B > P ∗ L ?

– B: es la carga o gasto que significa la prevención de
una pérdida específica debido a una vulnerabilidad.
– P: es la probabilidad de que se vea afectada dicha

vulnerabilidad y ocurra esa pérdida específica.

– L: es el impacto o coste total que significa la pérdida

específica debido a esa vulnerabilidad que ha sido
afectada por una amenaza.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 138

¿Cuándo y cuánto invertir en seguridad?

Si

Si

B ≤ P ∗ L

Hay que implementar una medida de
prevención.

B > P ∗ L

No es necesaria una medida de prevención.

... al menos matemáticamente. No obstante, siempre puede
ocurrir una desgracia que esté fuera de todo cálculo como
las consecuencias informáticas en algunas empresas tras el
11 de septiembre. Lo que sí es cierto, es que no tiene
sentido alguno invertir más dinero en la protección del
bien que el propio valor de éste.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 139

Efectividad del coste de la medida

• Las medidas y herramientas de control han de tener

menos coste que el valor de las posibles pérdidas y el
impacto de éstas si se produce el riesgo temido.

• Ley básica: el costo del control ha de ser menor que

el activo que se protege. Algo totalmente lógico y
que tanto los directivos como los responsables de
seguridad de la empresa deberán estimar de forma
adecuada a su realidad. En varios casos, el verdadero
problema está en la dificultad de calcular de forma
más o menos precisa el impacto económico que
puede suponer el hecho de que ocurra ese riesgo.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 140

El factor L en la ecuación de riesgo

Factor L (en B ≤ P ∗ L)
• El factor de impacto total L es difícil de evaluar.

Incluye daños a la información, a los equipos,
pérdidas por reparación, por volver a levantar el
sistema, pérdidas por horas de trabajo, etc.

• Siempre habrá una parte de valoración subjetiva.
• La pérdida de datos puede llevar a una pérdida de

oportunidades por el llamado efecto cascada.
• En la organización debe existir una comisión

especializada interna o externa que sea capaz de
evaluar todas las posibles pérdidas y cuantificarlas.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 141

El factor P en la ecuación de riesgo

Factor P (en B ≤ P ∗ L)
• El factor P está relacionado con la determinación

del impacto total L y depende del entorno en el
que esté la posible pérdida. Como este valor es
difícil de cuantificar, dicha probabilidad puede
asociarse a una tendencia o frecuencia conocida.
– Una vez se conoce P para un L dado, se obtiene la

probabilidad de pérdida relativa de la ocurrencia P∗L
que se comparará con B, el peso que nos supondría
implantar la medida de prevención respectiva.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 142

El factor B en la ecuación de riesgo

Factor B (en B ≤ P ∗ L)
• Indica qué se requiere para prevenir una pérdida.
Por ejemplo, puede ser la cantidad de dinero que
vamos a disponer para mitigar la posible pérdida.
– Ejemplo: la carga de prevención para que un sistema
informático minimice el riesgo de que sus servidores
sean atacados desde fuera incluye la instalación de
software y hardware adecuado, un cortafuegos, un
sistema de detección de intrusos, una configuración
de red segura, una política de seguimiento de accesos
y de passwords, personal técnico cualificado, etc.
Todo ello importa una cantidad de dinero específica.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 143

Cuantificación de la protección

¿ B ≤ P ∗ L ?
• ¿Cuánta protección es necesaria?

– En nuestro ejemplo: qué configuración de red usar, en
qué entorno trabajar, qué tipo de cortafuegos, etc. Eso
dependerá del nivel de seguridad que nuestra empresa
desee, crea oportuno o que nos imponga el mercado.

• ¿De qué forma nos protegeremos?

– Una casa puede protegerse con puertas, cerraduras, barras

de hierro en ventanas, sistemas de alarmas, etc.

– En un sistema informático podemos aplicar protecciones
físicas, políticas de seguridad, control de accesos, planes
de contingencia y de recuperación, cortafuegos, IDs, uso
de cifrado, autenticación, firmas, pasarelas seguras, etc.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 144

Pasos en un análisis de riesgos

1. Identificación costo
posibles pérdidas (L)

Identificar amenazas

Se
cierra

el
ciclo

3. Identificar posibles
acciones (gasto) y sus
implicaciones (B).
Seleccionar acciones a
implementar.

¿ B ≤ P∗L ?

2. Determinar susceptibilidad.
La probabilidad de pérdida (P)

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 145

Algunas políticas de seguridad

• Políticas administrativas

– Procedimientos administrativos.
• Políticas de control de acceso

– Privilegios de acceso del usuario o programa.

• Políticas de flujo de información

– Normas bajo las cuales se comunican los

sujetos dentro del sistema.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 146

Aspectos administrativos

• Políticas administrativas

– Se establecen aquellos procedimientos de
carácter administrativo en la organización
como por ejemplo en el desarrollo de
programas: modularidad en aplicaciones,
revisión sistemática, etc.

– Se establecen responsabilidades compartidas
por todos los usuarios, cada uno en su nivel.

– Se procede a la etapa de concienciación.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 5: Introducción a la Gestión de la Seguridad

Página 147

Control de accesos

• Políticas de control de acceso

– Política de menor privilegio

• Acceso estricto a objetos determinados, con

mínimos privilegios para los usuarios.

– Política de compartición