Los planes de seguridad informática son de gran importancia para el funcionamiento de una empresa, ya que gracias a ellos se trata de prevenir posible escenarios de fallos en los sistemas, accidentes provocados, ya sea de forma involuntaria o por sabotaje. Así mismo deben considerar posibles fenómenos naturales como inundaciones, incendios, etc. Con esto se pretende lograr que la empresa tenga el menor costo en tiempo y dinero para poder levantar sus sistemas y continuar con el negocio protegiendo el bien más valioso de la empresa, el cual es la información, logrando que se respeten la confidencialidad, integridad y disponibilidad de la misma. A eso se le denomina “Plan de Continuidad del Negocio” (PCN).
Para que un PCN sea exitoso, se deben definir las responsabilidades del empleado para con los bienes que se encuentran dentro y fuera de la empresa y con los cuales tiene interacción. Por ejemplo una persona encargada de la seguridad informática dentro de una empresa debe como parte de sus roles y responsabilidades definidas por la misma llevar a cabo backups de los sistemas y datos, para posteriormente almacenarlos en algún lugar seguro para que si por alguna eventualidad se sufriera algún percance en la empresa, bastara con recuperar los backups. Esto último caería en la categoría de un plan de contingencia, pero puede haber muchos y variados desde el más sencillo hasta los más complejos, como por ejemplo trasladar las sucursales a otro lugar físico.
Para que la información este bien resguardado, es necesario aplicar dos conceptos la seguridad lógica, la cual consiste en implementar herramientas de protección de la información, protocolos de autenticación entre los diferentes nodos de la red y los servidores, así como la aplicación de normas de seguridad. Pero también se debe aplicar lo que se conoce como seguridad física, esta consiste en implementar procedimientos de protección física tanto a la información como a los ambientes de laborales, esto se puede lograr mediante control de accesos restringidos mediante gafetes de seguridad, medidas contra incendios, inundaciones, etc. Este tipo de seguridad también se puede extender a los ordenadores, por ejemplo desconectar los puertos USB, bloqueo de correos salientes que no sean por el servidor de correo oficial de la empresa, etc. Básicamente todo esto se puede lograr mediante la implantación y puesta en marcha de políticas de seguridad, tanto informática como industrial dentro de la empresa.
Se trata de un plan que reúne todos los procesos necesarios para administrar la seguridad de la información digital o física, y su finalidad se puede resumir en tres puntos fuertes que son Confidencialidad: que la información solo esté disponible para los usuarios autorizados, Integridad: que garantice la exactitud de la información así como que este completa y Disponibilidad: que los usuarios tengan acceso en el momento que sea necesaria la información, por medio de la definición de políticas de seguridad que hacen posible la concienciación de los miembros de la empresa acerca de la importancia y sensibilidad de la información y servicios críticos, para analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. El plan de continuidad del negocio trata de cómo la empresa puede levantar los servicios necesarios para seguir operando en caso de algún siniestro, teniendo una solución alternativa y un plan de contingencia que facilite y oriente la consecución de una solución para restituir rápidamente los servicios, la importancia que tiene es garantizar la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas, y recuperar con normalidad las actividades de la empresa. La seguridad física es la forma de proteger el acceso a las personas, incendios y otros y entre las medidas están anclaje de mesas de trabajo, cerraduras, tarjetas de alarma, etiquetas con adhesivos especiales, bloqueo de disquetera entre otros.
La información se ha convertido en un activo muy importante para las organizaciones y por ende debe ser debidamente protegida, es por eso importante tener un plan de seguridad de la información. Finalidad de los planes seguridad de la información: Es fijar los niveles de seguridad para proteger la información de la organización. Esto debe cumplir con tres puntos importantes confiabilidad, integridad y disponibilidad de los datos. También se debe fijar las responsabilidades de cada uno de los empleados. Plan de continuidad del negocio: Los planes de continuidad de negocio, son aquellos en donde se indica las acciones que se deben tomar para recuperar y restaurar las funciones criticas de un sistema de información por un tiempo determinado. Seguridad física Consiste en la aplicación de barreras físicas y procedimientos de control como la prevención y contramedidas ante amenazas a los recursos informáticos. Las principales amenazas que prevén en la seguridad física son: Desastres naturales: incendios accidentales tormentas e inundaciones. Amenazas Ocasionadas por el hombre Disturbios, sabotajes internos y externos. Juan Manuel Noriega Carné: 092-93-723
Un Plan de Seguridad de la información incluye todos los procesos/servicios involucrados en la administración de la seguridad de la Información. La finalidad del PSI es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Su alcance es la evaluación de riesgos de seguridad a los que está expuesta la información y la definición de políticas de seguridad. PCN significa “Plan de Continuidad del Negocio”, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones / operaciones críticas, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Su finalidad es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa. El alcance del desarrollo del PCN es: Análisis de impacto, plan de contingencia, plan de recuperación de desastres. Su importancia en las empresas permite recuperar la normalidad de las actividades de la empresa rápidamente, garantizar la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas. Los datos deben protegerse aplicando seguridad lógica y física. Seguridad física: Procedimientos de protección física del sistema: acceso personas, incendio, agua, terremotos, etc. Tener en cuenta el entorno de la PC como son cerraduras, protectores de teclado, anclajes a mesas de trabajo, toma de tierra. Felipe Orellana 092-96-1176
Los planes de seguridad informática, deben de estar incluidos dentro de los planes estratégicos de la organización, para que de algún modo puedan llegar alinearse al negocio, lo anterior porque al estar incluido dentro de las proyecciones que se realizan año con año, pueda haber presupuesto asignado a la implementación de soluciones no solamente tecnologías que apoyen las actividades del resguardo de los recursos tecnológicos de la organización sino planes de capacitaciones y concientización de todo el personal en relación a temas de seguridad de la información. Hoy en día uno de los activos importantes de una organización es la información que de una u otra manera al ser bien utilizada las hace competitivas dentro del ámbito en el que se desenvuelve y en cierto punto llega a obtener una ventaja competitiva. Sin embargo esto no es posible si además de implementar herramientas que hagan más eficiente el resguardo de los recursos tecnológicos, no se incluye dentro del plan políticas que normen la manipulación de información por parte de los usuarios internos, personal externo como proveedores y servicios prestados por terceros, inclusive personal que no tenga relación directa con un equipo informático, como por ejemplo todo documento debería de ser destruido previo a su desecho en la basura. Los documentos de las políticas y procedimientos deben ser bien definidos con lenguaje claro para el fácil entendimiento de personal que no maneje tecnicismos propios del ámbito informático. Cada día más toma auge el que las empresas se apeguen a algún estándar internacional que les permita tener el control de los recursos tecnológicos en base a mejores prácticas como los son entre ellas ISO 27001-27002, COBIT, ITIL, etc. Inclusive para las entidades financieras existen medidas mínimas a implementar exigidas por los entes reguladoras de gobierno. Un buen plan de seguridad informática debe ser integral e incluir el establecimiento del Plan de continuidad del negocio, el Plan de recuperación de desastres, y el Análisis de Impacto al negocio. El plan de seguridad informática debe de estar ligado a un proceso de mejora continua, ya que cada día surgen nuevas tecnologías y nuevas necesidades de asegurar estas nuevas tecnologías. Como material de apoyo a algunos temas del curso de Seguridad de redes me parecio importante incluir la siguiente url http://darfe.es/CMS/index.php?module=Descargas&func=display&lid=85 el cual pueden obtener el libro académico llamado Seguridad por niveles de Alejandro Corletti Estrada. Vanesa Hernández | 092-99-1909
Un Plan de Seguridad de la Información en cualquier empresa es algo vital e importante porque con el podremos tener disponibilidad, integridad y confidencialidad de la información así como también de los activos de la organización, está realmente es la finalidad del PSI. Toda empresa debe de tener en cuenta y bien definidos los alcances del PSI, siendo estos la evaluación de riesgos de seguridad a los que está expuesta la información, selección de controles y objetivos para reducir, eliminar o evitar los riesgos identificados, pero también tener muy bien definidas las políticas de seguridad. El Plan de Continuidad del Negocio es el proceso que en determinado momento hace que se reduzcan los riesgos de que la empresa detenga sus funciones y operaciones críticas de una forma inesperada. Su finalidad principal es tener planificada una estrategia de contingencia en una serie de pasos y que estos faciliten y a la vez orientes para tener una solución rápida y asi permita que la empresa pueda ante la eventualidad continuar de una forma parcial o total con sus labores. La seguridad física consiste en la toma de medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad, planes de contingencia y aplicación de normativas. Debemos de tener en cuenta las Políticas de Seguridad Administrativas, Políticas de control de acceso (privilegios a usuarios) y por último y no menos importante Políticas de Flujo de Información. Se debe de tener muy en cuenta un Plan de Emergencia, Plan de Recuperación. En síntesis un buen plan de contingencia haría que la empresa no se detenga. Jorge Ricardo Ángel López | 092-03-1895
Una corporación hoy en día no se puede darse el lujo de no contar con un plan de seguridad el cual tome en cuenta desde aspectos físicos hasta aspectos lógicos, porque resulta completamente inconsistente el contar con grandes equipo que pueda realizar maravillas pero en muchos casos están instalados en lugares y condiciones inadecuadas, algunos aspectos muy básico con los que cuenta un plan de seguridad serian tales como, un resumen ejecutivo, el estado actual de la organización y por supuesto las recomendaciones al caso, pero no bastara quedarse en letra muerta luego del plan viene la acción y por supuesto acompañada a ella la supervisión que se esté realizando el trabajo de seguridad. Luego de culminado el plan se debe realizar una campaña informativa a cerca del porque de la medidas y también explicar las posibles implicaciones que conlleve el no acatar la medidas, además también sería importante volver la seguridad parte de la cultura de la empresa y que las normativas se cumplan es lo que se necesita para contar con un empresa segura, se debe tener muy en cuenta que el plan constantemente en periodos prudenciales podrá tener modificaciones y ampliaciones que permiten erradicar nuevas vulnerabilidades.
Los planes de seguridad información y planes de continuidad del negocio van de la mano sino existe el primero no hay negocio así de simple. Un plan de Seguridad de la información incluye todos los procesos/servicios involucrados en la administración de la seguridad de la información. La finalidad del PSI es proteger la información y los activos de la organización tratando de conseguir, confidenciabilidad, integridad y disponibilidad de los datos; asumiendo con responsabilidad cada uno de los empleados mientras pertenezcan a la organización. El desarrollo, la adopción, la implementación y la administración de un plan de seguridad de información sólo son efectivos si se aprovechan ampliamente y si se comunican públicamente a la mayor parte del área de administración de la organización. PCN significa Plan de continuidad del negocio, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones/operaciones críticas, independientemente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. La finalidad es del PCN es contar con una estrategia planificada, procedimientos que faciliten u orienten tener una solución alternativa que permite restituir rápidamente los servicios de la organización ante una eventualidad. Seguridad Física, la dividimos en dos partes, la lógica y la física en sí; cada una se le da la protección adecuada tomando en cuenta las medidas de prevención de riesgos tanto físicos como lógicos, a través de una política de seguridad, planes de contingencia, aplicación de las normativas, etc. Waldemar Pérez 092 99 1839
Un plan de seguridad informática, es un procedimiento donde se definen los lineamientos de la planeación, el diseño e implantación de un modelo de seguridad con el objetivo de establecer una cultura de la seguridad en la organización.
Asimismo, la obliga a redactar sus propios procedimientos de seguridad, los cuales deben estar enmarcados por las políticas que conforman este plan. El propósito de establecer este plan es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados de la organización.
Este Plan presenta las Políticas de Seguridad Informática cuyo contenido se agrupa en aspectos como: • Seguridad Lógica • Seguridad en las Comunicaciones • Seguridad de las Aplicaciones • Seguridad Física • Administración del Centro de Cómputos • Auditorías y Revisiones • Plan de Contingencia.
En un Plan de Seguridad Informática se desarrollan normas y procedimientos que pautan las actividades relacionadas con la seguridad informática y la tecnología de información. Este deberá ser aprobado por los directivos de La Empresa S.A. para su implantación. Estas políticas de seguridad informática y las medidas de seguridad en ellas especificadas deben ser revisadas periódicamente, analizando la necesidad de cambios o adaptaciones para cubrir los riesgos existentes y auditando su cumplimiento.
El propósito de establecer, crear y desarrollar un plan de seguridad informática es proteger la información y los activos de la empresa tratando de conseguir la confidencialidad, integridad, irrefutabilidad y disponibilidad de los datos, cuando nos mencionamos la palabra irrefutabilidad lo que queremos conseguir es que los empleados de la organización asuman cada uno sus responsabilidades. Las políticas se establecen como instrumento para concientizar a los miembros sobre la importancia de los datos. Como toda organización es blanco de ataques es recomendable que los responsables de sistemas elaboren un plan de continuidad del negocio ya que este les garantizará seguir sus operaciones mientras se controla la falla, entre los tipos de seguridad se deben considerar dos: Seguridad lógica y seguridad física, la seguridad lógica se encargará de la protección de los datos mientras que la seguridad física se encargará de toda la infraestructura, es necesaria este tipo de seguridad por si ocurriese un siniestro como terremotos, incendios etc. es necesario contar con planes de continuidad de negocios, plan de seguridad de informática y plan de recuperación de desastres el cual es muy importante ya que indica la forma y la estrategia en que se irá recuperando la empresa de acuerdo a lo establecido en dicho plan. Marlon Giron Vielman 092-04-3169
Recordando que un PSI es un plan de seguridad de información y que incluye todos los procesos/ servicios involucrados en la administración de la seguridad misma, podemos decir que lo primordial del PSI es proteger la información y los activos de la organización, tratando de conseguir el recordado CID de los datos y la responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Recordemos también el PCN, Plan de Continuidad del Negocio, que viene siendo un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones u operación criticas, independientemente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Mientras que el PSI es proteger el PCN en contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización ya sea de forma parcial o total. Es decir que tenemos que hacer un plan de contingencia para casos de emergencia. Y lo más importante del PCN es que debe garantizar la continuidad del nivel minimo de servicios necesarios para las operaciones. Pero después de resguardar toda unidad lógica y tener planificación de contingencia también esta la Seguridad Física que es algo que muchos analistas dejan de ultimo o pasan desapercibido ciertos modus operandus que delegan la responsabilidad a las políticas de la empresa, cuando como profesionales debemos sugerir la seguridad de ambos. Para no alargar mucho el comentario solo enlistare una serie de sugerencias para la seguridad física en entornos de PC’s, Anclajes a mesas de trabajo, cerraduras, tarjetas con alarma, etiquetas con adhesivos especiales, bloqueo de disqueteras, protectores de teclado, tarjeta de control de acceso al hardware, suministro ininterrumpido de corriente, toma de tierra, eliminación de la estática entre otros. Obed Monteros 2392 05 6806
Plan de seguridad de la información incluye todos los procesos y servicios involucrados en la administración de la seguridad de la información. PSI la finalidad es proteger la información y los activos de las organizaciones, para conseguir la confidencialidad, integridad y disponibilidad de la información, ya que es el activo más importante de una organización. Un alcance es definir políticas de seguridad.
Plan de Continuidad de Negocios PCN cuando una empresa sufre daños físicos por vandalismo, incendios o desastres naturales, es común que, aunque la información se tenga respaldada, esto no asegura la continuidad inmediata de las operaciones, debido al daño sufrido en el personal, las instalaciones y los equipos de cómputo. El PCN es un proceso diseñado para reducir el riesgo, la finalidad es contar con una estrategia planificada, que faciliten u orienten una solución alternativa. El alcance PCN es analizar el impacto, plan de contingencia y plan de recuperación de desastres, estos se obtiene mediante al análisis de riesgos.
Los datos debe protegerse con seguridad lógica y física. Debe de ayudarse con las políticas administrativas, políticas de control de acceso y políticas de flujo de información. El plan debe responder a dos preguntas claves ¿cuáles son los recursos de información relacionados con los procesos críticos del negocio de la organización? Y ¿cuál es el período de tiempo máximo que el negocio puede soportar sin que esos recursos funcionen antes de que se experimenten pérdidas significativas o inaceptables para la supervivencia del negocio? Por regla general, este tipo de planes se desarrollan de forma distinta para cada organización, según la dependencia y actividad de cada una.
Planes de Seguridad Informática PSI se elabora con el fin de determinar el alcance y enfoque de los procesos involucrados en la administración de la seguridad en una organización. Este es elaborado también para proteger la información y activos de la misma, asi buscando conseguir que se ponga en practica la confidencialidad, integridad y disponibilidad de todos los datos, delegando responsabilidades a los empleados. Al aplicar en una organización un PSI podemos evaluar y controlar los riesgos a los que esta expuesta la información y si logramos identificar alguno, eliminarlo. PCN (plan de continuidad del negocio) este proceso es diseñado para reducir el riesgo de que ocurra una interrupción que no esperábamos y paralice asi las funciones de la organización. Se planifica un estrategia para estar preparados y restablecer nuevamente los servicios. El PCN alcanza 3 etapas: Analisis de impacto, Plan de contingencia y Plan de recuperación de desastres. Cuando analizamos el impacto podemos decir que analizamos los eventos que podrían afectar y hacer que la organización deje de funcionar. La elaboración del plan de contingencia se hace como medida de prevención y busca una solución alternativa. Y por ultimo el plan de recuperación se elabora para evaluar la capacidad que tiene la empresa para recuperarse tras un desastre. Seguridad Física y Logica de los datos L a seguridad lógica la tendremos que hacer mediante protocolos de autenticación entre cliente y servidor y la seguridad física crear protección contra alguna eventualidad como incendios, agua, terremotos, etc. Hablando de la ecuación básica de análisis de riesgo, se determina el riesgo, de cuanta es la magnitud de la perdida y cuanto repercutirá y en que en la organización.
PLANES DE SEGURIDAD El propósito de establecer un plan de Seguridad Informática es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Estas políticas emergen como el instrumento para concienciar a sus miembros acerca de la importancia y sensibilidad de la información y servicios críticos, de tal forma que permitan a la empresa cumplir con su misión. El proponer esta política de seguridad requiere un alto compromiso de la institución, agudeza técnica para establecer fallas y deficiencias, y constancia para renovar y actualizar dicha política en función de un ambiente dinámico
PCN: Este plan es para crear y validar planes logísticos para la practica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. Estos planes son llamados Planes de Continuidad del Negocio. El plan logístico que se denomina un Plan de Continuidad de Negocios.
La seguridad Logica: hace referencia a la aplicación de mecanismos y barreras para mantener el resguardo y la integridad de la información dentro de un sistema informático. La seguridad lógica de un sistema informático incluye:
Restringir al acceso a programas y archivos mediante claves y/o encriptación. Asignar las limitaciones correspondientes a cada usuario del sistema informático. Esto significa, no darle más privilegios extras a un usuario, sino sólo los que necesita para realizar su trabajo. Asegurarse que los archivos y programas que se emplean son los correctos y se usan correctamente. Por ejemplo, el mal uso de una aplicación puede ocasionar agujeros en la seguridad de un sistema informático. Control de los flujos de entrada/salida de la información. Esto incluye que una determinada información llegue solamente al destino que se espera que llegue, y que la información llegue tal cual se envió.
Seguridad Física: Es muy importante ser consciente que por más que la institución sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc.; la seguridad de la misma será nula si no se ha previsto como combatir un incendio. La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático. Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de la sala, que intentar acceder vía lógica a la misma.
Actualmente la mayoría de las empresas, incorporaron sistemas informáticos como herramientas para el proceso de la información especialmente en la gestión Administrativa, donde el flujo de información se produce de manera constante. Los datos primarios son transformados para producir información útil a la empresa y que permita la toma de decisiones oportunas, con el fin de cumplir sus objetivos y enfrentar con competitividad los grandes desafíos de otras empresas que se encuentran con las mismas posibilidades en los mercados. Una de las grandes preocupaciones de la Dirección de estas empresas, es buscar elementos confiables que garanticen la manipulación de datos e información de manera correcta.para ello hay seguridades logicas y fisicas normas ISO 17799 y ISO 27001 donde exiten las tecnicas de Confidencialidad,Integridad,Disponibilidad:,en donde debemos proteger Hardware, Software, Datos y Elementos Consumibles
El propósito principal de un PSI es dar confidencialidad, integridad y disponibilidad de los datos, hoy en día es esencial que una empresa tenga un PSI, el papel del profesional en seguridad informática es ofrecer soluciones de seguridad informática avanzada, aumentar la cultura de seguridad en la empresa mediante políticas que se desprendan de los sistemas implantados, autoevaluación de los sistemas para saber qué nivel de vulnerabilidad existe en la empresa.
Las empresas deben de saber sobre los peligros que corre si no adopta medidas en cuanto a seguridad informática. Una buena forma de establecer un PSI es que la empresa cuente con una serie de pasos basada en normas como la ISO/IEC 27002.
Un PCN protege la información crítica de la empresa como PSI, y permite afinar los procesos para volver a la normalidad en caso de interrupción parcial o total de las operaciones de la empresa. Se debe tener un pleno conocimiento del negocio de la empresa. Realizar un análisis de impacto, análisis de riesgos, crear estrategias de continuidad, documentar los procedimientos, probar las soluciones de recuperación, sensibilizar y formar al personal para la ocasión.
Dentro PCN se pueden incluir de manera sucesiva o exclusiva, El plan de recuperación de desastres, El plan de continuidad de Operaciones.
La seguridad Física está enfocada en reducir las amenazas ocasionadas por el hombre como por la naturaleza del medio físico donde se encuentra ubicado el equipo. Consiste en la aplicación de barreras físicas, y normas de control como medidas de prevención y contra medidas ante amenazas a los recursos y la información confidencial, se refiere a los controles y mecanismos implementados para proteger el hardware y los medios de almacenamiento de datos. Marwin Vasquez 092-99-548
Un plan de seguridad debe incluir todos los procesos y servicios involucrados en la administración de la seguridad informática el objetivo es proteger los activos de la organización y la información junto con la responsabilidad de cada empleado en la manipulación de los mismos, el PSI consigue la Confidencialidad, Integridad y Disponibilidad de la Información Organizacional, se centra en el análisis de los riesgos, selección de los controles y la definición de las políticas de seguridad.
Por otro lado el plan de continuidad del negocio, es un proceso diseñado para evitar la interrupción de las operaciones de la organización ante una interrupción inesperada de naturaleza espontanea, dentro de su diseño se debe contemplar: el análisis de impacto, plan de contingencia y el plan de recuperación de desastres; un buen diseño del pcn asegura la continuidad en los servicios electrónicos reduciendo la perdida de capital y evitando que los procesos productivos se detengan por fallas en la infraestructura de la información.
La seguridad física es otro aspecto muy importante en la administración de la seguridad de cualquier data centro, el aspecto lógico va desde la defunción y uso de protocolos y herramientas de administración hasta la definición de los permisos de los usuarios locales; la parte física debe cubrir desastres naturales y acontecimientos accidentales de fuerza no controlada y que deberían afectar mínimamente a la inversión, se deben considerar acciones físicas de acceso que protejan físicamente y lógicamente los equipos, computadoras, servidores, etc. La implementación de estas medidas pude suponerse innecesaria pero al momento de que suceda algún evento no controlado salvaguardaran los activos. El análisis de riesgos se debe realizar con un nivel de detalle extremo donde se cuantifique las posibles pérdidas y se definan las acciones que mitiguen ese nivel de perdida, también se debe conocer la sensibilidad de pérdida de información, podríamos estar en una situación no controlada y perder toda la información organizacional lo que sería un verdadero desastre y como consecuencia sufrir directamente penalizaciones legales. La implementación de las políticas administrativas, políticas de control de acceso y políticas flujo de información constituyen el alma del plan de seguridad la observación de estas es fundamental por todos los empleados y ejecutivos en las organizaciones.
Los planes de seguridad informática deben diseñarse para ofrecer un mejor y más seguro servicio al cliente y nunca como un obstáculo para el desarrollo de sus actividades de negocio. Siempre que sea posible deben definirse métricas e indicadores clave que permitan evaluar los niveles de seguridad acordados. El objetivo del Plan de Seguridad es resguarda la información generada por lo sistemas informáticos implementados en la compañía, sobre todo es fijar los niveles de seguridad que han de ser incluidos como parte de los acuerdos de nivel de servicio, acuerdos de nivel de operación y los contratos de soporte. Todo plan de seguridad esta resguardado OSI 27001, ITILL y COBIT. Ya que es responsabilidad de OSI coordinar la realización periódica de auditorías a las prácticas de seguridad informática. A continuación mostraremos los posibles riesgos que la empresa esta más propensa a tener: Riesgos Humanos: • Agresión física o moral, Robo, Artefactos explosivos, Incendios, etc. Riesgos Naturales: • Inundaciones, Sismos, Tormentas eléctricas. Riesgos Tecnológicos: • Sabotaje computacional, Incendios, Acceso al centro de cómputo. PCN: Todo plan se desarrolla con el objetivo de mantener o restablecer las operaciones de los negocios en plazos determinados una vez que ocurra alguna interrupción o falla en los procesos críticos de los negocios. Los Planes de continuidad del negocio son la respuesta prevista por la empresa ante aquellas situaciones de riesgo que le pueden afectar de forma crítica .No importa el tamaño de la empresa o el coste de las medidas de seguridad implantadas, toda organización necesita un Plan de continuidad de negocio ya que tarde o temprano se encontrará con una incidencia de seguridad. Tiene como objetivo el mantenimiento de estos servicios y procesos críticos, así como la reducción de impactos ante imprevistos de indisponibilidad o desastres para en un plazo razonable y con un coste acotado. Este servicio está orientado a la obtención de un plan global que garantice la cobertura técnica y organizativa adecuada de las áreas críticas de negocio.
Todas aquellas medidas de seguridad que hemos evaluado en anteriores artículos son parte del conjunto de medidas y herramientas de implementación para elaborar el Plan de Seguridad. El objetivo principal del Plan de Seguridad es establecer un marco de trabajo que establezca políticas realistas y alcanzables que puedan ser implementadas dentro de una organización; tratando de conseguir la confidencialidad, integridad y disponibilidad de los datos.
La Organización, por tanto, debe comprometer las actividades y a su personal con el Plan de Seguridad aprobado.
Junto con el Plan de Seguridad; el Plan de Continuidad del Negocio establece las pautas de seguimiento contra una eventual situación que afecte el normal funcionamiento del flujo de trabajo, tanto manual como automático, de la Organización. El Plan de Continuidad del Negocio busca medir la capacidad de la organización para continuar operaciones en caso de algo fallo, ataque o desastre y que las guías de procedimientos establezcan una serie de pasos a seguir, con el objetivo de no improvisar frente a un problema sino actuar sobre un plan objetivamente elaborado.
Como hemos visto en los articulos anteriores el objetivo principal de estas medidas de seguridad es poder tener un buen Plan de Seguridad en la cual establecemos un marco de trabajo con diferentes políticas que se puedan implementar dentro de una organización para tratar de conseguir que la confidencialidad, la integridad y la disponibilidad de datos sea segura y efectiva, tratando de que no sean blancos faciles para robo o malverzación de la información.
Amarrado al plan de seguridad encontramos el Plan de Continuidad del Negocio, el cual fue diseñado para evitar interrupciones de operaciones de las empresas u organizaciones. El diseño que debe contener el PSN o que debe de tomar en cuenta es el análisis de impacto, un plan de contingencia y uno de recuperación de desastres, si se obtiene un buen diseño se asegura la continuidad de los servicios informáticos, reduciendo perdida de capital, evitar que procesos productivos se detengan por fallas en la infraestrutura de la red de información.
Una organización debe de contener un plan de seguridad informática esto para estar prevenidos a la hora de sufrir un ataque o algún problema que pueda afectar el buen funcionamiento y disponibilidad de la información, la finalidad del PSI es proteger la información y los activos de la organización tratando de corregir confidencialidad, integridad y disponibilidad de los datos, y responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Se deben de evaluar los riesgos a la que está expuesta la información y seleccionar controles para reducir los riesgos identificados además debemos de definir las políticas de seguridad informática. El plan de continuidad del negocio es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones y operaciones críticas, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Debemos de tener seguridad lógica y seguridad física, la física toma en cuenta la seguridad de todos los dispositivos que poseemos y pueden ser afectados por algún desastre inesperado como acceso de personas ajenas o no autorizadas a dicho lugar, incendio, agua, terremotos, etc.; esta seguridad podemos utilizar anclajes a mesas de trabajo, cerraduras, tarjetas con alarmas, etiquetas con adhesivos especiales, protectores de teclado, tarjeta de control de acceso al hardware, etc.; todas estas herramientas las podemos usar para garantizar una buena seguridad física. Pablo Rodríguez Escalante 092-01-741
El Plan de Seguridad Informática (PSI) es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que graviten sobre el mismo. El objetivo Plan de Continuidad de Negocio (PCN) es que los servicios o procesos del negocio vuelvan al estado normal de producción que tenían antes de la interrupción. Estos planes de respuesta y respaldo se gestionan mediante planes de contingencias. Un plan de contingencia es la parte práctica del PCN. Consiste en los pasos que el personal debe realizar (de acuerdo con las directrices del PCN) para hacer frente a las situaciones inesperadas que pueden afectar a la continuidad de su negocio. Puesto que el tiempo es un factor crucial en las situaciones de emergencia, se hace necesario disponer de planes de respaldo que permitan una rápida reacción ante cualquier incidencia producida por hackers, virus, desastres naturales, caídas de redes.
Un plan de seguridad informática consiste en desarrollar normas y procedimientos que pautan las actividades relacionadas con la seguridad informática y la tecnología de información, creando políticas de seguridad, medidas de seguridad, estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura de nuestros sistemas de información. Estos planes son de suma importancia para minimizar todos los posibles ataques a nuestros sistemas de información, no obstante también es necesario mantener un plan de seguridad desde el punto de vista físico, determinando planes de contingencias sobre fenómenos naturales o sobre la infraestructura por ejemplo del lugar a implementar nuestra arquitectura informática, ya que el éxito de una empresa depende de la eficiencia de sus sistemas de información y que mejor que se mantenga un plan de seguridad eficiente y con mejoras continuas, por ejemplo una empresa puede tener un staff de gente de primera, pero si tiene un sistema informático propenso a errores, es lento, vulnerable e inestable mantendrá ataques por terceras personas, es por dicha razón que existen planes de seguridad informática. Edwin Gonzalez/092-04-13259
El plan de seguridad de la información o PSI se realizan para garantizar que la información, se mantenga disponible, Integra y confidencial, Los PSI se llevan a cabo para planificación de acciones y proyectos que lleven a un Sistema de Información y sus Centros de Proceso de Datos de una situación inicial determinada a una situación mejorada, aceptable o deseada. Para alcanzar el nivel de seguridad definido en la política, es preciso el desarrollo, adopción e implementación de un plan de seguridad. Para ello se deben realizar una serie de actividades en las que personal especializado de la línea en coordinación con el responsable de seguridad de la compañía, se encargará de: Clasificación de los servicios críticos para el negocio e identificación y clasificación de los tipos de información que exigen protección, análisis de riesgos asociados a los activos de información, definición de los objetivos de control, controles y medidas de protección adicionales para lograr el nivel de seguridad. Pero qué pasa si no se tiene un plan de continuidad del negocio al momento que fallara el plan de seguridad ante desastres, Por eso es necesario la creación de un plan de continuidad del negocio durante y después de una interrupción a los procesos críticos del negocio. En el plan de continuidad se debe tener alternativas ante desastres desde la parte informática como las demás secciones de las organizaciones y tanto el plan de seguridad de la información y el plan de continuidad del negocio deben ser probados en la medida que lo permita los recursos. Así poseer una seguridad en los planes que se necesitan para garantizar el buen funcionamiento de la organización. En cuanto a la seguridad física, es necesario establecer normativas para que los equipos como las pc´s, equipo de comunicación se encuentren en lugares adecuados a no mayor de 20 grados de temperatura y protegidos acorde a su característica por ejemplo una pc debe tener por lo mínimo la siguiente protección: protección a teclado, toma de tierra, eliminación de la estática, una mesa adecuada de trabajo, en cuanto al acceso al data center también se debe poseer cerraduras, identificación con tarjetas de acceso.
Un plan de seguridad de la información incluye todos los procesos y servicios para la administración de la seguridad de la información, con la finalidad de proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que deben asumir ciertos roles para hacer esto posible. Con un plan de seguridad de información se pretende alcanzar una evaluación de riesgos de seguridad a los que está expuesta la información y para la definición de políticas de seguridad. Una importancia principal de los PSI en las organizaciones es hacer posible la concienciación del personal de la organización acerca de la importancia y sensibilidad de la información que manejan.
Plan de continuidad de negocio, es un proceso diseñado para reducir riesgos de una organización ante una interrupción de sus actividades, operaciones, funciones. Se pretende contar con una estrategia planificada, qué procedimientos se deben seguir al momento de una contingencia y establecer una alternativa de solución. El análisis de impacto se identifican las diversas situaciones que podrían afectar en la continuidad de las operaciones y la organización. Después del análisis de impacto se genera un plan de contingencias que nos oriente y facilite la consecución de una solución alternativa para que la organización restablezca sus operaciones. Y por ultimo un plan de recuperación de desastres, donde se evalúa la capacidad de la organización para restaurar los servicios, funciones, actividades a un nivel acordado de calidad.
Dentro de un plan de seguridad, se deben tomar en cuenta dos tipos de seguridad: lógica y física, la seguridad física consiste en procedimientos de protección física del sistema, por ejemplo, acceso de personas al datecenter, circuito cerrado, control de humedad, sensores de movimiento y un sin fin de mecanismos para reducir riesgos. Angel Muñoz (092-03-2045)
En el proceso de elaboración de planes de seguridad de información, se deberán de tomar en consideración la recopilación de todo tipo de material necesario para la elaboración de estas, como las concernientes al uso interno y externo de nuestra red. Estas podrían contener una serie de evaluaciones las cuales podrán determinar si será necesario el acceso remoto al sistema, el proceso de identificación de usuarios no autorizados, el tipo de seguridad de información, el nivel de acceso de los usuarios del sistema, la brecha de seguridad de nuestro sistema, entre otros. La implementación de planes de seguridad de información, ayudaran a identificar las amenazas a las que estará expuesto el sistema, y el que hacer en caso de daño, robo de información y la divulgación de esta, y del resultado del proceso de identificación derivara el diseño del sistema de seguridad a implementar y el costo que representara el poder implementarlo.
El poder implementar planes de seguridad de información, deberán pasar por varios procesos, derivado del análisis de las necesidades de protección que en consideración debería de ser el adecuado. Entre los ítems a tomar en consideración a la elaboración de los planes de seguridad se pueden mencionar los de redacción, edición, aprobación, difusión, revisión, aplicación, actualización. Adheridos a la elaboración de los procedimientos que conlleva a la aplicación de los planes, entre las que podrían encontrarse la creación de un usuario, eliminación de usuario, conectividad de red de usuario, actualización de software, entre otros. Con la elaboración de los planes de seguridad de información, se podrán establecer los planes de continuidad de negocios, el cual nos indica en base a procesos analíticos el que hacer en caso que el sistema pueda sufrir algún tipo de imprevisto como la de recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. De gran ayuda será la elaboración los planes de gestión de riesgo, las cuales indicaran el que hacer en caso de alguna interrupción en nuestro sistema, esto con el fin de que las transacciones sigan su flujo normal
Cuando se habla de nueva tecnología, también se habla de nuevas aplicaciones, nuevos dispositivos de hardware y nuevas formas de elaboración de información, sin embargo se suele pasar por alto, la importancia de la seguridad de la información, y el de contar con un plan de seguridad. Pensemos por un momento que alguien sufre un accidente en el centro de computo o el lugar donde se almacena la información. Ahora preguntémonos: ¿Cuánto tiempo pasaría para que la organización este nuevamente en operación?. Es por eso que es necesario contar con un plan de seguridad, ya que el objetivo de un plan de seguridad es fijar los niveles de seguridad desarrollados con la gestión de niveles de servicios que es la responsable en última instancia tanto de la calidad de servicio prestado a los clientes, como la del servicio recibido por la propia organización TI y proveedores externos. Este tipo de planes deben de diseñarse para ofrecer un mejor y eficiente seguro servicio al cliente y nunca como una ineficiencia para el desarrollo de sus actividades diarias, aparte de la elaboración deben de definirse las métricas e indicadores claves que permitan evaluar los niveles de seguridad acordados, conjuntamente con las métricas se debe de contemplar para las empresas el establecimiento de algunos protocolos de seguridad para toda la fase de servicio y para todos los elementos implicados. Pese a todas las medidas de seguridad, pueden ocurrir desastres. De hecho los expertos en seguridad afirman sutilmente que hay que definir un plan de recuperación de desastres para cuando falle el sistema, no otros tipos de desastres que pudieran ocurrir, por todo esto y otras cosas, es bueno contemplar un plan de contingencia, que contemplen todo este tipo de márgenes de error o desastres que pudieran ocurrir. Es muy importante ser consciente que por más que nuestra empresa sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc. la seguridad de la mismas será nula si no se ha previsto como combatir un incendio, la seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático, es por eso que no debemos de olvidar tratar todos estos puntos, sobre seguridad y desastres físicos que pudieran poner en peligro nuestra información, recordemos que lo más valioso para una empresa es su información.
Los planes de seguridad y planes de contingencia están orientados hacia la sostenibilidad del negocio, con estos se busca prevenir la materialización de un riesgo, pudiendo ser accidentales, fenómenos naturales, fenómenos provocados intencionalmente entre otros. El plan de continuidad contempla la puesta en marcha de la empresa en el menor tiempo posible y al costo más bajo, es importante hacer énfasis en la información, ya que el propósito esencial es protegerla, tratando de asegurar la confidencialidad, integridad y disponibilidad de la información. El plan de seguridad está orientado a minimizar los riesgos que pongan en riesgo la información, conjuntamente forman parte del plan de seguridad de la información. El alcance se define en el resultado de una evaluación de riesgos con los cuales se definen ciertos controles y políticas para minimizar los riesgos. El plan de continuidad del negocio permite contar con una estrategia que facilite restituir rápidamente los servicios ante un evento de paralización de la organización; garantiza la continuidad del negocio por lo menos con los servicios necesarios para operaciones críticas. Se debe hacer un análisis de riesgos y la probabilidad de estos conjuntamente como el costo que conlleva un evento para un conjunto de riesgos y en general el costo de protección debe ser menor que el activo que se protege. El análisis de riesgos se hace: 1. Identificando el costo de posibles perdidas 2. Determinando la probabilidad de perdida 3. Identificando las posibles acciones y sus gastos e implicaciones a implementar. Entre los cuales, están políticas administrativas, de control de acceso y de flujo de información
Además del conocimiento y utilización de herramientas y mecanismos de seguridad todo esto debe trabajar en conjunto es decir definir los procesos, procedimientos y políticas en cuanto a seguridad de información se refiere, esto es conocido como un plan de seguridad de información el cual tiene como objetivo final proteger el activo más importante hoy en día de las empresas “la información”, dicho activo tiene un valor específico para cada empresa dependiendo del giro de negocio. El cual busca siempre que toda la información sea confiable, integra y esté disponible cuando se requiera.
Las empresas tienen hoy en día mucha información, pero es importante segmentar la importancia de cada tipo de información, para ello es de gran utilidad un plan de continuidad del negocio el cual se basa en la importancia de cada proceso de la empresa y busca que las operaciones más críticas de la empresas no dejen de operar o al menos sea por un tiempo muy corto.
Un parte de la seguridad, la seguridad física es muy importante pues si únicamente tenemos controles en aplicaciones ¿Qué pasaría si alguien llega y se roba un disco duro sin que nadie se dé cuenta? Sería una perdida terrible para la empresa es por ello que también la restricción de accesos y bitácora de dichos sucesos son sumamente importantes, todo esto lo abarca la seguridad física.
Es imposible garantizar el 100% de seguridad en un sistema, debido a que este control de seguridad es muy elevado, por lo que se convierte en el motivo principal por el cual muchas empresas, en general, asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser hackeadas. La cuestión es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy limitado les impediría hacer más negocios. "Si un Hacker quiere gastar cien mil dólares en equipos para descifrar una encriptación, lo puede hacer porque es imposible de controlarlo. Y en tratar de evitarlo se podrían gastar millones de dólares". Podrían entonces optar por una solución a medias, o sea, sería limitar todo el espectro de seguridad, en lo que hace a plataformas, procedimientos y estrategias. De esta manera se puede controlar todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y esto significa ni más ni menos que un gran avance con respecto a unos años atrás.
En este sentido, las Políticas de Seguridad Informática (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.
El Objetivo principal de establecer un Plan de Seguridad Informática dentro de una organización es proteger la información y sus activos, garantizando: Integridad, Disponibilidad y Confiabilidad de los datos. Cada uno de los empleados involucrados en el desarrollo de este plan, juegan un papel muy importante debido a que el incumplimiento de una tarea asignada dentro del plan, representa un nivel de riesgos que podría ocasionar pérdidas invaluables. Las políticas de un plan de seguridad informática surgen como instrumento para hacer conciencia de la importancia y sensibilidad de la información, de tal forma que permitan a la organización cumplir con sus objetivos. El proponer políticas de seguridad requiere un alto compromiso de la organización para establecer fallas y deficiencias y constancia para renovar y actualizar las políticas del plan de seguridad en un futuro. Es indispensable que el Plan de Seguridad Informática contemple la definición los lineamientos para promover la planeación, el diseño e implantación de un modelo de seguridad en la misma con el fin de establecer una cultura de la seguridad en la organización. Asimismo, la obliga a redactar sus propios procedimientos de seguridad, los cuales deben estar enmarcados por este plan. El Plan de Continuidad del Negocio en la mayoría de ocasiones es generado por factores externos a la organización considerando desastres naturales o provocados por el hombre, incendios, terremotos, huracanes, etc, sobre los cuales la empresa no puede actuar per si puede de alguna manera, planificar como reaccionar ante estas situaciones adversas para poder continuar con las operaciones y transacciones del negocio.
Como anteriormente hemos visto un Plan de Seguridad Informática está diseñado para proteger la información crítica y recursos provenientes de una amplia gama de amenazas a fin de garantizar la continuidad del negocio, reducir al mínimo el riesgo y maximizar el retorno sobre las inversiones y oportunidades. La información y sus componentes críticos (confidencialidad, integridad y disponibilidad) constituyen el activo mas importante de cualquier organización la cual es esencial para una organización y por lo tanto debe ser protegida adecuadamente. Los planes de seguridad informática tienen que estar basados mediante la aplicación de un conjunto adecuado de controles, incluidas políticas, procesos, procedimientos, estructuras organizativas y funciones del software y hardware. Estos controles deben de establecer, implementar, dar seguimiento, revisar, mejorar y monitorear, cuando sea necesario, para garantizar que las políticas, normas y procedimientos son actualizados y adaptados a las tecnologías en constante evolución. Para que un sistema se pueda definir como seguro debe cumplir tres características: Integridad, Confidencialidad y Disponibilidad, por lo tanto al momento de implementar un plan de seguridad informática en una organización se debe capacitar a todos los trabajadores en los elementos básicos de Seguridad y Riesgo para el manejo del software, hardware y con respecto a la Seguridad Física.
La finalidad de los Planes de Seguridad de Información PSI radica en la protección de la información y los activos de la organización, enfocándose en obtener Confidencialidad, Integridad y Disponibilidad de los datos, también se enfoca en las responsabilidades que tiene a su cargo el personal para lograr lo antes mencionado.
El plan de continuidad del negocio PCN es un proceso cuyo objetivo es reducir el riesgo de la organización frente a una interrupción inesperada de sus operaciones o funciones importantes o críticas, ya sea que éstas sean manuales o automatizadas y que son vitales para la organización.
La seguridad de los datos se protege aplicando dos tipos: La seguridad física en donde encontramos procedimientos de protección del sistema (acceso de personas, incendios, agua, terremotos) y medidas de prevención de riesgos tanto físicos como lógicos (políticas de seguridad, planes de contingencia, aplicación de normativas). La seguridad lógica toma en cuenta el uso de herramientas de protección de la información y el medio por el cual se transmite, protocolos de autenticación entre cliente y servidor, y la aplicación de normativas.
Irmaría Soledad del Rosario de León López - 092-04-807-
Un plan de seguridad de la información incluye los procesos involucrados en la administración de la seguridad de la información. Protege la información y los activos de la organización, ya que su finalidad primordial es conseguir la confidencialidad, integridad y disponibilidad. Es vital que el PSI incluya la evaluación de riesgos de seguridad a los que está expuesta la información, selección de controles, definición de políticas de seguridad. Las empresas deben incluir un PSI porque desarrolla normas y procedimientos que pautan las actividades relacionadas con la seguridad informática. También el Plan de Continuidad del Negocio (PCN) es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones. Se crea con el objetivo de contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización. Asimismo se debe incluir la organización implementación de seguridad lógica y seguridad física. La lógica se hace por medio de herramientas de protección de la información en el mismo medio en el que se genera o transmite. Y la física contiene los procedimientos de protección física como acceso a personas, incendio, agua, terremotos y otros. Entre las medidas básicas están el plan de emergencia, plan de recuperación y el plan de seguridad. Si se cuenta con todas estas medidas se puede conseguir una empresa bastante segura en cuanto a la información se refiere, ya que se tendrá una medida para cada contingencia. Sheyla Yadira Esquivel 1092-04-8228
Dentro de una organización siempre debe proteger la información , para ello hay que tener un plan de seguridad en el cual se debe proteger no solo el área donde se encuentra los servicios o el área de sistemas, sino también el acceso a ellos. Un plan de seguridad tiene por finalidad prevenir la pérdida de datos o bien robo de información. En la actualidad la delincuencia cibernética es muy amplia y por ello se deben tener las medidas necesarias para protegerla de alteración o robo. Además dentro de este mismo plan deben considerarse la recuperación de información en caso de desastre así como el resguardo de las copias de seguridad. A esto se le llama un plan de continuidad del negocio, contemplando un desastre o una perdida de información, que está rodeada por muchas vulnerabilidades, lograr evitar el riesgo de que el negocio se detenga por falta de servicios y/o información almacenada de ellos. Nelson Rodolfo Boche Santos|092-04-8043
Un plan de seguridad de la información establece los principios organizativos y funcionales de la seguridad informática en una organización. Este plan debe estableces los posibles riesgos y cuáles serian los mecanismos para contrarrestarlos, así como cuales son las responsabilidades que los empleados deben asumir ante un caso delicado para la organización. Durante la elaboración de un plan de este tipo se debe realizar un análisis para poder clasificar los activos de mayor prioridad y poderles proporcionar la protección adecuada.
Existen políticas que se pueden describir en un plan de seguridad algunas de ellas son políticas administrativas, políticas de flujo de información así como políticas de control de acceso. Este plan debe incluir todo tipo de vulnerabilidades que pueda tener una organización tanto en el sistema de información, en su arquitectura de red así mismo en su infraestructura, porque recordemos que existe la posibilidad de poderse enfrentar un desastre natural. Tomando en cuenta que la información es un activo importante, se puede protege aplicándole seguridad física y lógica.
Paralelo al plan de seguridad informática se debe elaborar un plan de contingencia con el objetivo de poder dar una solución rápida ante una restauración de los servicios de la organización, es decir que debe permitir recuperar la normalidad de las actividades.
El objetivo principal por el cual se debería contar con un plan de seguridad es reducir los riesgos y dar soporte a las operaciones de la organización.
En las organizaciones de hoy en día, la información es el activo mas importante, muchas empresas, cuentan con equipo sofisticado, sistemas exitosos, incluso con profesionales altamente calificados, pero descuidan o no prestan atención a los posibles desastres que puedan ocurrir, creen que en todas la demás si puede pasar pero en su organización no. Por tal motivo es imperativo el uso de planes de continuidad del negocio (PCN) y planes de seguridad de información (PSI). Un PSI, incluye todo los procesos y/o servicios involucrados en la administración de la seguridad de la información. La finalidad, es proteger la información y los activos de la organización buscando conseguir confidencialidad, integridad y disponibilidad. Mencionaremos 3 alcances. 1. Evaluación de riesgos de seguridad a los que esta expuesta la información. 2. Selección de controles y objetivos de control para recudir, eliminar o evitar riesgos identificados, indicando las razones de su inclusión o expulsión. 3. Definición de políticas de seguridad. El PCN es un proceso diseñado para reducir riesgo de la organización ante una interrupción inesperada de sus funciones y operaciones críticas. Finalidad, es contar con una estrategia planificada, una serie d e procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios ante la organización. Alcance, Análisis de impacto, plan de contingencia, plan de recuperación de desastres. La Seguridad Física, lo datos se deben proteger aplicando, seguridad lógica, y seguridad física. 092-97-1504
Un plan de seguridad informática pretende presentar toda la información sobre los riesgos, plantear políticas de seguridad informática, una serie de etapas y buenas prácticas, las cuales ayuden a implementar las restricciones y procedimientos adecuados, encaminados específicamente a prevenir, detectar y contrarrestar aquellas acciones que pongan de una u otra forma en riesgo la confidencialidad, disponibilidad e integridad de la información, resguardando de tal forma el equipamiento contra el acceso no autorizado en las áreas donde se encuentren los activos importantes de una entidad.
Así mismo un plan de seguridad informática, es donde se definen los lineamientos de la planeación, el diseño e implantación de un modelo de seguridad con el objetivo de establecer una cultura de la seguridad en la organización. Obliga a redactar sus propios procedimientos de seguridad, los cuales deben estar enmarcados por las estrategias y políticas que conforman este plan.
El propósito de un plan es proteger la información y los activos de una organización o empresa, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos, de la misma forma las responsabilidades que debe asumir cada uno de los empleados dentro de dicha organización o empresa.
Un plan de continuidad del negocio(PCN) es un concepto que abarca tanto la planeación para recuperación de desastres(DRP) como la planeación para el restablecimiento del negocio.
Un plan de continuidad de negocio se puede considerar como un repositorio que recoge toda la gestión adecuada y necesaria para la ejecución, mantenimiento y pruebas de todas las acciones a tomar para la recuperación de la continuidad del negocio después de una interrupción, dada por cualquier tipo de circunstancia. La finalidad es que el negocio dentro de sus servicios y procesos vuelvan a ser los mismos, encontrándose en un estado normal de producción que tenía antes de dicha interrupción. Esto se logra teniendo un plan de continuidad del negocio, el cual debe de contener todo lo necesario para lograrlo, con respuestas y respaldos que se gestionan mediantes planes de contingencia, que vendrían siendo una sería de pasos y procedimientos para hacer frente a situaciones inesperadas que puedan afectar la continuidad.
Cuando se habla de seguridad siempre de debe de tener en cuenta la seguridad lógica como la física, puede ser que una organización o empresa sea lo más segura en la parte lógica pero si descuida la parte física, la seguridad será nula si no se ha previsto como combatir un incendio o cualquier otro tipo de desastre natural que pueda ocurrir y no tener claras las políticas de recuperación.
El aspecto físico siempre se debe de tomar en cuenta en cualquier aspecto, como ejemplo se pueda dar que una organización sea lo más segura posible de forma lógica, pero si no es segura la forma en que una persona físicamente entra a la organización, sería más fácil para un atacante entrar y robar la información que desea, que intentar acceder por un medio lógico. Entre las amenazas que prevén la seguridad física tenemos:
-Amenazas ocasionas por el hombre -Disturbios, sabotajes tanto internos como externos -Desastres naturales, incendios y accidentes.
Por lo que siempre se debe de evaluar los aspectos de seguridad física como lógica dentro de las organizaciones, para así integrar la seguridad de la información como función primordial dentro de los procesos de dichas organizaciones.
Hablando siempre de seguridad tenemos que entender que la implementación de tecnología y políticas no harán la totalidad de la tarea de asegurar la información en realidad por cumplimiento con estándares o bien con regulaciones según el giro del negocio o por simple salud mental toda organización debería contar con un plan de seguridad informática o PSI por sus siglas en español, el cual engloba y detalla tanto el enfoque como el alcance de los procesos involucrados en la administración de la seguridad, como objetivo el PSI tiene la meta de conseguir que la información de la institución o empresa que lo genera esté disponible para los usos correctos, mantenga la integridad sin importar el inconveniente y se mantenga con la confidencialidad necesaria.
Tenemos que decir que no solo se trata de mantener la seguridad en los datos y se comenta que también debe estar disponible y en ese mix entre disponibilidad y seguridad aparece un concepto conocido como continuidad de negocios que persigue lograr que a pesar de eventos que minen la disposición original de los datos y sistemas que los procesen, los mismos tengan una opción de funcionamiento alterno en caso de algún inconveniente es allí donde entre en escena el plan de continuidad de negocios que básicamente detalla las acciones a tomar para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones/operaciones críticas, el alcance de este plan incluye el análisis de impacto el plan de contingencia y el plan de recuperación de desastres, que son la evaluación de lo que sucedería si algo le sucediera a un proceso normal, el plan para hacer que si sucediera hubiera una respuesta que no generara impacto negativo y la forma de seguir con ese proceso a pesar de que existió un evento no fortuito.
Como hemos visto a través de los temas anterior mente tratados ; de nada nos sirve el poder contar con todas la herramientas que nos proporciona la tecnología a través del internet para poder adquirir, procesar o almacenar uno de los recursos más importante como lo es la información, si no podemos garantizar la confidencialidad, integridad y disponibilidad de la misma; es por ellos que nos vemos en la necesidad de implementar diversos mecanismos defensa y sistemas de protección; pero todo estos tiene que ser parte de un todo, un complemento de gestión administrativa; y para poder relacionar todo esto es necesario la implementación de un adecuado Plan de Seguridad informática, que es en donde nos encargaremos de proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Dentro de este plan es de suma importancia tomar en cuenta las diversas políticas de seguridad, entre ellas tenemos la políticas administrativas, las políticas de control de acceso y las del flujo de información; y un adecuado cumplimiento de estas nos ayudara a darle una mayor integridad a la información circulante en toda nuestra red de la organización. Pero para todo estos creo que es de suma importancia recalcar en la educación informática del tema a todo el personal de la organización.
El tener un plan de seguridad informática es parte vital de las organizaciones con el objetivo que prevalezca la información para todos los que la necesitan, es por esto que en el plan de seguridad se incluyen todos los procesos y servicios que están involucrados y para que sean efectivos considera a los impulsadores de una organización para determinar el alcance y enfoque de todos los procesos que estarán involucrados y poder proteger la información y activos de la organización tratando de conseguir lo más importante confidencialidad integridad y disponibilidad de los datos, además de fomentar la responsabilidad que debe tener cada empleado mientras permanezca dentro de la organización. Cuando desarrollamos un plan de seguridad informática es importante tomar en cuenta todos los riesgos a los que está expuesta la información, se deben de seleccionar controles e implementar políticas de seguridad aun implementado este tipo de planes nunca será 100% seguro pero con esto se busca minimizar los riesgos de perdida de información e intentando cumplir con la integridad confidencialidad y disponibilidad de la información. Se deben contemplar dos áreas que son física y lógica, en la parte física consiste en la aplicación de barreras físicas y procedimientos de control ante las diferentes amenazas a los recursos de información confidenciales, como lo son desastres naturales sabotajes internos o externos y por el lado de seguridad lógica proteger la información dentro de su propio medio utilizando herramientas de seguridad como backups. Adicionalmente se deben implementar los PCN que es plan de continuidad del negocio, estos son procesos diseñados para reducir el riesgo dela institución ante una interrupción inesperada de sus funciones críticas, este plan nos especifica una serie de procedimientos que facilita a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante una paralización. Los alcances que tienen los PCN son el análisis de impacto plan de contingencia y plan de recuperación de desastres, dando como resultado garantizar la continuidad del nivel mínimo de los servicios necesarios para las operaciones criticas permitiendo que la organización pueda continuar funcionando en caso de alguna eventualidad. Podemos concluir que toda organización debe tener un plan de seguridad informática y un plan de continuidad uno para prevenir la paralización de los sistemas y el otro para poder responder ante una paralización y así poder garantizar la integridad confidencialidad y disponibilidad de la información. Cristian Lucero|092-01-4138
La principal finalidad del plan de seguridad es proteger la información y los activos de la organización tratando de conseguir confidencialidad, integridad y disponibilidad de los datos. Permite analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. Y las responsabilidades que deben asumir cada uno de los empleados mientras permanezcan en la organización. Diseñar un buen plan de seguridad nos garantiza tener una evaluación de riesgos, ayuda a reducir eliminar o evitar los riesgos identificados indicando las razones de su inclusión. En los planes de seguridad también se definen políticas de seguridad, controles y objetivos.
Como complemento al plan de seguridad está el PCN (Plan de continuidad del negocio) su propósito es diseñar un plan diseñado para reducir el riesgo de la institución ante posibles interrupciones inesperadas, ya que cuenta con una estrategia planificada y una serie de procedimientos que faciliten u orienten a tener una solución que permita levantar rápidamente los servicios, es muy importante tener en cuenta este tipo de planes de continuidad para tener un análisis de impacto, un plan de contingencia y plan de recuperación ante desastres. Los datos deben protegerse tanto con seguridad física como lógica. En la seguridad física se vela por procedimientos físicos del sistema, medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad planes de contingencia aplicación de normativas.
Los planes de seguridad informática tienen la finalidad de asegurar la confidencialidad, integridad, disponibilidad y autenticidad de la información. Se centra en el análisis de los riesgos, selección de los controles y la definición de las políticas de seguridad. Debemos de tener seguridad lógica y seguridad física, la física toma en cuenta la seguridad de todos los dispositivos que poseemos y pueden ser afectados por algún desastre ya sea natural o inesperado como acceso de personas ajenas o no autorizadas; esta seguridad trata de resguardar la información, independientemente del medio en que esté almacenada, por ejemplo el edificio, los dispositivos de hardware, etc.; La seguridad Lógica: se refiere a la aplicación de mecanismos y barreras para mantener el resguardo y la integridad de la información dentro de un sistema informático. Esta seguridad incluye los flujos de entrada/salida de información, restringir el ingreso de los usuarios al sistema informático, etc. PCN significa “Plan de Continuidad del Negocio”, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones / operaciones críticas, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. La finalidad del PCN es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización, ya sea de forma parcial o total. Dentro de un PCN se incluyen: Los planes de recuperación de desastres, contingencias y análisis de impacto.
El plan de seguridad de la información es esencial e importante para cualquier organización que valore su información, este plan incluye todos los procesos y servicios involucrados en la administración de la seguridad de la información todo esto con el fin principal de que se cumpla con la integridad, disponibilidad y confidencialidad de la información entre los alcances del plan de seguridad se tienen la evaluación de riesgos, selección de controles y el establecer políticas de seguridad todas estas tanto a nivel físico como lógico.
Otro elemento importante el cual no debería de faltar en ninguna empresa es un plan de continuidad del negocio que básicamente es contar con una estrategia planificada y una serie de procedimientos que faciliten u orienten a la empresa a restablecer sus operaciones en caso de perdida o desastres. Los alcances de un plan de continuidad del negocio son: análisis de impacto el establece los diversos eventos que pueden afectar las operaciones de la organización así como el impacto que estos pueden tener en esta, plan de contingencia el cual consiste en crear un plan de contingencia el cual permita volver a las operaciones rápidamente al momento de una contingencia y por el ultimo del plan de recuperación de desastres el cual nos permite en caso de contingencia recuperar los servicios un un nivel de calidad definido.
La implementación de un plan de continuidad del negocio es esencial en cualquier organización para la cual el valor de la información justifique la inversión en seguridad y así decidir si se implementa o no este y a que medida se implementa tanto de manera física como lógica.
La seguridad es un proceso continuo, no se pueden establecer unas medidas de seguridad extremas para mantener la integridad de los datos y procesos de la empresa y luego, olvidar que es necesario realizar un seguimiento continuo de las medidas implantadas, actualización de Software, revisión periódica del Hardware, etc. Por ello una vez realizado el análisis de la empresa y dadas las recomendaciones necesarias para conseguir dotar a la empresa de las medidas de seguridad necesarias que cubran las precariedades con las que cuenta la empresa en materia de seguridad informática, se van a detallar unas recomendaciones finales, sobre todo de cara al futuro, para que la empresa consiga mantener el nivel de seguridad alcanzado gracias a las recomendaciones dadas. Recomendaciones - Mantener correctamente actualizado todo el Software de la empresa,antivirus, Sistema Operativo, Software de gestión, etc. - Realizar, al menos una vez a la semana, copias de respaldo de todos los datos generados durante el periodo desde la última copia de seguridad. - Realizar auditorías periódicas, recomendablemente bienales, del nivel de seguridad en que se encuentra la empresa. - Se recomienda la contratación de personal adecuado para el mantenimiento de los sistemas y los procedimientos de seguridad (al menos una). - Cumplir correctamente con todo lo referente a la política de Protección de Datos. - Que el personal de la empresa siga las recomendaciones dadas. - Y si es posible una certificación de seguridad informática para la empresa.
Actualmente la seguridad informática ha adquirido gran auge, dadas las cambiantes condiciones y nuevas plataformas de computación disponibles, situación que desemboca en la aparición de nuevas amenazas en los sistemas informáticos. Esto ha llevado a que muchas organizaciones hayan desarrollado documentos y directrices que orientan en el uso adecuado de estas tecnologías para obtener el mayor provecho de las ventajas que brindan, tal es el caso como por ejemplo el de establecer un Plan de Seguridad Informática en cual se busca proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Otro ejemplo que han adoptado muy bien las organizaciones es el de un Plan de continuidad del negocio Debido a que “Cualquier organización, en algún instante de tiempo, se deberá enfrentar a una situación anómala que amenace su actividad” y es aquí donde el Plan de continuidad del negocio tiene el objetivo de mantener la funcionalidad de una organización, a un nivel mínimo aceptable durante una contingencia. Pero es muy importante ser consciente que por más que nuestra organización sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc. y un excelente plan de continuidad, las mismas serán nulas si no se ha previsto como combatir un incendio ó como la detectar si un atacante intenta acceder físicamente a una sala de operaciones de la misma, que de cierto modo se torna más fácil lograr tomar y copiar una cinta de la sala de operaciones, que intentar acceder vía lógica a la misma, en ocasiones La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático, es por ello que se debe ser consiste en la aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial
PSI: El plan de seguridad informática es esencial hoy en día en toda organización que base su crecimiento en la tecnología, ya que sabiendo explotar la misma se pueden obtener ventajas competitivas y tener un mejoramiento y un crecimiento constante. Esto mismo lo sabe la competencia y los hackers y crackers, puede ser que el plan de seguridad no cumpla al 100% la seguridad del sistema pero al menos mitigaría cualquier evento posible, haciendo backups, para no perder nuestra información, autenticando los ingresos a nuestro sistema solamente de personas de nuestra entera confianza, previendo cualquier evento natural, entiéndase terremotos, inundaciones, o cualquier evento que dañe la infraestructura y la información contenida en ella, etc. Siempre teniendo la finalidad de proteger la información y los activos de la organización, entiéndase equipo tecnológico, software y personal. Para conseguir confidencialidad, integridad y disponibilidad. Plan de continuidad del negocio: Su objetivo es que ante cualquier contingencia en la organización el daño sea mínimo, contemplando de antemano las medidas preventivas y de recuperación ante cualquier desastre. Como incendios, terremotos, pandemias, etc. Seguridad física: Es la “aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial de la organización”. Y trata los controles y mecanismos de seguridad dentro y alrededor del Centro de Cómputo así como los medios de acceso remoto al centro y desde el mismo. Implementados para proteger el hardware y medios de almacenamiento de datos.
Los datos de una compañía se han convertido en uno de sus activos más importantes y por ello deben ser adecuadamente protegidos. Sin embargo, todavía existe un número considerable de compañías que no asignan a la información su verdadero valor y, por ello, no les conceden la protección necesaria. Para poder solucionar este problema se debe conseguir en primer lugar el compromiso de la dirección, plasmada en una política corporativa de seguridad de la información, que formaría parte de un completo plan de seguridad que materialice la política en acciones concretas de protección. El Plan de Seguridad de la Informacion es un proyecto estratégico de planificación de acciones y proyectos que lleven a un Sistema de Información y sus Centros de Proceso de Datos de una situación inicial determinada a una situación mejorada, aceptable o deseada.Para alcanzar el nivel de seguridad definido en la política, es preciso el desarrollo, adopción e implementación de un plan de seguridad. Para ello se deben realizar una serie de actividades en las que personal especializado en la seguridad de la ifnormación, en coordinación con el responsable de seguridad de la compañía, se encargará de: - Clasificación de los servicios críticos para el negocio e identificación y clasificación de los tipos de información que exigen protección. - Análisis de riesgos asociados a los activos de información. - Definición de los objetivos de control, controles y medidas de protección adicionales para lograr el nivel de seguridad. - Estudio de la situación actual, con recomendaciones. - Análisis gap, que establezca los proyectos a implantar para alcanzar el nivel de seguridad necesario. - Asesoría en el alcance de los proyectos a desarrollar.
Un plan de seguridad de información tiene un costo relativamente elevado, ya que exige una inversión inicial para su desarrollo y ejecución y otra posterior para la implantación y mantenimiento de las medidas adoptadas. ¿Está justificado este gasto?Para responder a esta pregunta se debe estimar el montante económico que supondría el impacto causado en el negocio en caso de que la información crítica fuese comprometida en virtud de la explotación de una posible vulnerabilidad (robo, destrucción o modificación, daño público a la imagen de la compañía, etc) y si el riesgo asociado a esa posibilidad es asumible o no.
Las organizaciones empresariales en la actualidad deben de contar con un plan de seguridad de información y con un plan de continuidad de negocio. Ambos son de suma importancia para fortalecer la seguridad informática en el mundo de las redes de computadoras. Un plan de seguridad de la Información incluye todos los procesos/servicios involucrados en la administración de la seguridad de la información. Su finalidad es proteger la información y los activos de la organización tratando de conseguir confidencialidad, integridad y disponibilidad de los datos. Además es muy importante mencionar que los empleados deben asumir ciertas responsabilidades mientras permanezcan ligados a la organización. El plan de seguridad de la información es de suma importancia para la empresa ya que: permite desarrollar normas y procedimientos que se relacionan con la seguridad informática y la tecnología de información además también permite analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. Un plan de continuidad del negocio es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Su finalidad es contar con una estrategia planificada que faciliten u orienten a poseer una solución alternativa que permita retomar los servicios de la empresa ante una posible paralización parcial o total. El plan de continuidad del negocio nos permite recuperar la normalidad de las actividades de la empresa rápidamente e identifica las funciones de negocio y los procesos esenciales para la continua y eficiente operación de la empresa. CARLOS ADRIAN AGUILAR OSORIO 1092-04-14272
Los riegos que existen para una organización son los mismos, no podemos eliminarlos únicamente preveer o contar con una respuesta rápida ante uno de ellos, no se pueden catalogar cuál es el más propenso puesto que si un riesgo es considerado la probabilidad que suceda es igual a uno que nunca se ha tomado en cuenta, la diferencia es la reestructuración del servicio o bien que presta la organización, en eso se basan los Planes de Seguridad Informática (PSI) y los de Continuidad del Negocio (PNC), Los primeros se enfocan específicamente en la evaluación física y lógica de la organización para definir controles y políticas a utilizar, los PCN son más importantes a mi criterio porque si un plan de seguridad es elaborado con deficiencias el que debe corregir cuando suceda el desastre es el de Continuidad, a la vez el de continuidad está planteado para los riesgos más comunes según el área geográfica y condiciones físicas del inmueble donde está ubicado el negocio o si es un negocio en internet se deberán trasladar algunas políticas al proveedor o asegurarse que éste las contenga su propio plan de seguridad.
El Plan de Continuidad del Negocio debe de ser documentado y probado con el fin de responder ante una emergencia de manera adecuada, logrando así el mínimo impacto a la operación del negocio. Los planes de continuidad permiten a las empresas seguir con sus operaciones durante una crisis; estas normas permiten a cualquier compañía, sin importar su tamaño, estar siempre disponibles. Para administrar este desafío se requiere un enfoque integral, que incorpore un análisis detallado de los requerimientos del negocio, la sensibilización de los usuarios, el uso de herramientas tecnológicas y sobre todo se debe concebir fundamentalmente a la continuidad del negocio como un proceso permanente más que la suma de soluciones puntuales. El impacto sobre el negocio es uno de los aspectos más importantes a considerar en el desarrollo de un plan de continuidad. Se trata de identificar los diversos eventos que pudieran afectar la continuidad de los procesos de negocio, las operaciones, las finanzas y también a las personas.
Es importante lograr un verdadero entendimiento de la organización, es decir, cuáles son los procesos de negocio que si fallan afectarían notablemente a la compañía en el corto y mediano plazo. Pruebas a realizar en el plan de continuidad del negocio: Simulaciones. Prueba en paralelo. Prueba de interrupción completa.
Contar con un plan de seguridad que cubra todas las expectativas que necesita nuestro sistema es vital para garantizar el buen funcionamiento de la información, para ello es necesario conocer las diferentes etapas que conforman un ataque informático brinda la ventaja de aprender a pensar como los atacantes y a jamás subestimar su mentalidad. Desde la perspectiva del profesional de seguridad, se debe aprovechar esas habilidades para comprender y analizar la forma en que los atacantes llevan a cabo un ataque. Afortunadamente, en la actualidad existe una gama muy amplia de herramientas de seguridad lo suficientemente eficaces que permiten obtener un adecuado nivel de seguridad ante intrusos no autorizadas haciendo que la labor de los atacantes se transforme en un camino difícil de recorrer. Sin embargo, más allá de cualquiera de los esquemas de seguridad que una organización pudiera plantear, existen estrategias de ataque que se basan en el engaño y que están orientadas a explotar las debilidades del factor humano. Uno de los pasos más importantes en seguridad, es la educación. Comprender cuáles son las debilidades más comunes que pueden ser aprovechadas y cuáles son sus riesgos asociados, permitirá conocer de qué manera se ataca un sistema informático ayudando a identificar las debilidades y riesgos para luego desplegar de manera inteligente estrategias de seguridad efectivas.
Para que un sistema sea seguro, deben identificarse las posibles amenazas y por lo tanto, conocer y prever el curso de acción del enemigo. Por tanto, el objetivo de este informe es brindar una perspectiva general de las posibles motivaciones de los hackers, categorizarlas, y dar una idea de cómo funciona para conocer la mejor forma de reducir el riesgo de intrusiones.
Una de las mejores soluciones es realizar auditorías continuas que incluyan monitoreo a través de programas keyloggers que pueden ser por hardware o por software, mecanismos que impidan la instalación de programas por parte del personal, estricta configuración del principio de privilegios mínimos, deshabilitación de puertos USB y prohibición del uso de dispositivos de almacenamiento extraíbles para evitar la fuga de información y entrada de otras amenazas como malware. Generalmente, la seguridad informática consiste en garantizar que el material y los recursos de software de una organización se usen únicamente para los propósitos para los que fueron creados y dentro del marco previsto. La seguridad informática se resume, por lo general, en tres objetivos principales: Integridad: garantizar que los datos sean los que se supone que son. Confidencialidad: asegurar que sólo los individuos autorizados tengan acceso a los recursos que se intercambian. Disponibilidad: garantizar el correcto funcionamiento de los sistemas de información.
Los datos de una compañía se han convertido en uno de sus activos más importantes y por ello deben ser adecuadamente protegidos. Todavía existe un número considerable de compañías que no asignan a la información su verdadero valor y, por ello, no les conceden la protección necesaria. Los Planes de seguridad de la información es un proyecto estratégico de planificación de acciones y proyectos que lleven a un Sistema de Información y sus Centros de Proceso de Datos de una situación inicial determinada a una situación mejorada, aceptable o deseada. El objetivo Un Plan de Continuidad de Negocio es que los servicios o procesos del negocio vuelvan al estado normal de producción que tenían antes de la interrupción. Estos planes de respuesta y respaldo se gestionan mediante planes de contingencias. Un plan de contingencia es la parte práctica del PCN. Consiste en los pasos que el personal debe realizar para hacer frente a las situaciones inesperadas que pueden afectar a la continuidad de su negocio. Puesto que el tiempo es un factor crucial en las situaciones de emergencia, se hace necesario disponer de planes de respaldo que permitan una rápida reacción ante cualquier incidencia producida por hackers, virus, desastres naturales, caídas de redes, etc. En el caso específico de un plan de contingencia, se estudia no sólo los sistemas informáticos, sino también la integración de los mismos con su modelo de negocio y desarrollamos las situaciones hipotéticas que pudieran afectar a la continuidad del servicio de los sistemas informáticos. Es así como se mejorará el nivel de concienciación y responsabilidad con respecto a la seguridad.
Mantener la información de una empresa segura requiere hardware, software pero también de la implementación de un buen plan de seguridad. El PSI es donde se incluye los alcances y enfoque de los procesos involucrados en la administración de la seguridad, lo que se pretende es proteger la información de la organización consiguiendo la CID de los datos. El PCN dentro de la organización está diseñado para reducir el riesgo ante una interrupción inesperada de sus funciones criticas, con esta estrategia se busca que la empresa tenga una serie de procedimientos a seguir para obtener soluciones alternativas en el caso que organización lo necesite. El recuperar la normalidad de las actividades de una empresa rápidamente gracias al PCN bien diseñado después de un desastre puede evitar pérdidas cuantiosas. Existen diferentes formas de mantener la información segura una es la seguridad física donde se pretende que los servidores de una empresa estén en un lugar adecuado con acceso restringido y que por cualquier eventualidad no puedan ser dañados y la seguridad lógica que es el cuidado que se debe tener cuando se utilizan los equipos para evitar cualquier tipo de ataques a los servidores a través de la red Rosinely Montoya 1092 04 8539
Un plan de seguridad informática es aquel que se desarrolla con el fin de garantizar la seguridad de la información. Lo que se busca con un PSI es garantizar la confidencialidad, integridad y disponibilidad de la información elaborando para ello políticas que logren este objetivo. Dentro de estas políticas se pueden mencionar de tipo físicas como lógicas. Una de los puntos a tomar en cuenta es el acceso y para esto se pueden desarrollar políticas tanto lógicas como físicas que incluyan la autenticación de usuarios con el uso de contraseñas y otros medios físicos como los biométricos o por medio de tarjetas. En el plan se debe incluir también las que se utilizarán con los dispositivos como el uso de firewalls, proxi, IDS e IPS la utilización de VPNs o el uso de DMZ en el firewalls. En este plan se incluye la localización del equipo de manera que se proteja, especialmente el equipo en donde se encuentra la información importante. Toda organización debe contar al mismo tiempo con un plan de continuidad del negocio, en este plan se incluye el plan de prevención de desastres. Lo que busca este plan es demostrar los costos que ocasionaría si se interrumpiera el negocio. Lo principal de estos planes es que se busca mejorar organizacionalmente. Siempre hay que considerar que hay factores ajenos a la empresa que son ajenos a esta, como el fluido de energía eléctrica o el proveedor de internet o no estamos ajenos de que en cualquier momento ocurran desastres naturales. En el plan debe tomarse en consideración estos factores y buscar soluciones como contar con generadores eléctricos, dos tipos distintos de conexión a internet y buscar colocar los equipos en lugares seguros. Los temas tratados anteriormente se deben tomar en cuenta en la seguridad física. Se debe pensar también en contar con redundancia como contar con storage de almacenamiento y utilizar file overs de conexión y de servidores. Lo importante es buscar la continuidad del negocio.
Luego de conocer todo el escenario y las necesidades que se tiene en una empresa, es necesario priorizar todas las soluciones que se adquirirán o presupuestaran en un ciclo fiscal. Esto contempla al alta disponibilidad de todos los sistemas que son criticos, no podemos hablar de copias de seguridad en caso de que haya una catastrofe, si no tomamos en cuenta que en un dia normal no tengamos electricidad, como podríamos realizar respaldos si no tenemos energia electrica y mucho menos una planta electrica? claro desde mi punto de vista todo es critico, ahora bien, no pensando que todo va a explotar y necesitamos la continuidad del negocio, tomenos en cuenta la razon de la empresa, es un banco, es la tiendita de la esquina, es un isp, claro cada uno con sus necesidades, presupuesto, etc. luego de determinar todo esto podemos pensar en toda la infraestructura, tomemos como ejemplo el correo electrónico de un banco, tenemos nuestra publicación internamente, pero este servidor sufre una baja en el servicio, es posibe dejar a un banco sin correo electronico mas de 1 hora, colapsa por experiencia, claro cuando pensamos en un servidor interno, muchos pensara solo es 1, pero no, en muchas ocaciones se tienen hasta 4 o 5, dependiendo de que tantos dominios internos maneje el banco, hasta como estan configurados, modos server, gateway o transparente, como se encuentran los registros mx en los dns de la empresa, etc. con los respaldos lo mismo, si es cierto que la mayoria utiliza dispositivos externos como unidades de cinta, para tener disponibilidad en cualquier momento, es necesario tomar en cuenta el tiempo que necesitamos en restaurar la informacion, muchas tecnologias como la virtualizacion hacen posible la continuidad del negocio, claro con un plan que se adapte a nuestras necesidades..
Actualmente, las redes de comunicaciones en las que se ubican los sistemas analizados, son rara vez planas. Es habitual la existencia de diferentes segmentos, separados por diferentes dispositivos y con distintas políticas de acceso. Por tanto, el análisis de vulnerabilidades ofrecerá diferentes resultados dependiendo desde qué origen se realice. Teniendo esto en cuenta, para que los resultados de los análisis sean válidos, éstos deberán ser realizados desde todas las posibles ubicaciones que puedan ocupar los potenciales atacantes, ofreciendo así distintos perfiles de visibilidad (y de exposición al riesgo) del sistema analizado. De forma típica, realizaremos análisis desde las siguientes ubicaciones: • Internet: Desde Internet se tendrá acceso a los servicios públicamente accesibles de la organización. Mediante este análisis se verificará que sólo estos servicios son accesibles de forma pública. • DMZ: Si en la organización existen segmentos de DMZ, deberán realizarse los escaneos hacia los servidores internos desde esta ubicación, ya que es un punto de entrada habitual una vez que ha sido comprometido alguno de los servidores públicos. De esta forma podrá conocerse qué grado de visibilidad tendrán los servidores internos para un atacante que ya ha conseguido comprometer algún sistema de la organización. • Mismo segmento: El escaneo desde el mismo segmento de red permite conocer sin acceder físicamente al sistema cuáles son los servicios que tiene configurados, tanto los que se están utilizando como los que están en funcionamiento sin ser utilizados debido a malas prácticas de administración o instalaciones por defecto. • Red Interna: Dado que una gran parte de los incidentes de seguridad en los sistemas de las organizaciones proviene de la propia organización, es importante conocer qué servicios son accesibles (y por tanto posibles causas de vulnerabilidad) desde las redes de usuarios internos.
El objetivo de un buen PSI, es la creación de medidas administrativas, técnicas y físicas, que protegan la información organizacional, con el fin de las siguientes razones, primero velar por la seguridad y confidencialidad de la información de la organización, segundo proteger contra cualquier amenaza o peligro a la seguridad o integridad de la información de la organización, y tercero proteger el acceso no autorizado o uso de información de la organización, que podría resultar en un daño sustancial, esto con lleva a planes de acción que pueden identificar las amenazas internas y externas razonablemente previsibles que podrían resultar en la divulgación no autorizada, mal uso, alteración o destrucción de la información, donde también se podrían evaluar la probabilidad y el daño potencial de estas amenazas, teniendo en cuenta la sensibilidad de la información, evaluar lo suficiente de las políticas, procedimientos, información de sistemas, y otras medidas preventivas en el lugar para controlar los riesgos. Construido a partir de su evaluación de riesgos, se debe de crear un plan de continuidad del negocio que ayudara a la organización para minimizar el riesgo y el impacto de una interrupción que pueda tener en su misión en curso, el plan debe abordar los activos de IT, aplicaciones de misión critica y sistemas de software, protección de datos y capacidades de seguridad, telecomunicaciones y redes. Ronald Hernandez 092-01-2828
Para que las organizaciones protejan sus activos de valor, es preciso que cuenten con procesos administrativos que fomenten la seguridad. Entre esos activos, principalmente se encuentran los datos, que se convierten en información oportuna para la toma de decisiones y estrategias del mercado. Para que esto sea posible es importante la implementación de un Plan de Seguridad Informático que proteja dichos activos, para garantizas de esa forma la confidencialidad, integridad y disponibilidad de los datos. El PSI consta de fases específicas como lo son: Evaluación de riesgos y esas vulnerabilidades que pueden ser aprovechados por intrusos, selección de controles para contrarrestar los riesgos y la definición de políticas de seguridad que cada miembro de la organización debe acatar, según su rol en la misma. Son de suma importancia ya que consiguen que exista un compromiso de parte de toda la institución, hacia el alcance de las metas propuestas. Recordemos que la vulnerabilidad también tiene que ver con la incapacidad de reponerse después de que ha ocurrido un desastre o alguna eventualidad que paralice el funcionamiento de la organización de forma parcial o total. Por lo que es importante conocer otros mecanismos de defensa que impulsa el buen funcionamiento de la organización, como lo es el Plan de Continuidad del Negocio. El cual es un proceso diseñado precisamente para la reducción de riesgos ante una interrupción inesperada de sus funciones. Este cuenta con fases como: análisis del impacto, plan de contingencia y un plan de recuperación de desastres.
No es difícil ver que son pocas las empresas que no realizan un debido plan de seguridad ya que creen que nunca pasara algún tipo de sabotaje ya sea accidental, intencional por parte de las mismas personas de la empresa o ajenas a ella o bien también algún tipo de catástrofe natural ya sea por un terremoto, inundaciones, etc. En la mayoría de empresas se logra ver el cableado de la red a la intemperie, se observa un cableado no estructurado, no etiquetado, etc. Si de esta forma se encuentra la red de igual forma se debe de encontrar el servidor, sin protección de ingresos al centro de datos, sin contar con un cuarto frio adecuada para el servidor y si no se cuenta con esto, menos con una suelo y cielo falso, así como de reguladores de voltaje para la protección del servidor. En la universidad muchos ingenieros expresaron la siguiente oración: USTEDES COMO INGENIEROS DEBEN DE ANTISIPARSE SIEMPRE A LO QUE LOS DEMAS CREEN QUE NUNCA PASARA, PORQUE ALGUN DIA PASARA. Por este motivo como profesionales debemos tener en cuenta que debemos anticiparnos al cualquier cosa que pudiera suceder. La finalidad básica de los planes de seguridad deben ser el cuidado de la información que maneja la empresa y el cuidado del software y hardware. PCN el plan de continuidad del negocio depende de gran manera si se toman en cuenta todos los posibles ataques que pueda tener el sistema, ya sea físico, lógico o natural. El PCN pretende que el negocio luego de un ataque de los ya mencionados pueda proteger los más valioso que posee que es la información y que la empresa pueda ser con su continuidad lo más rápido posible ahorrando la mayor cantidad de dinero que se pueda. La seguridad física se refiere a prácticamente los accesos al centro de datos y los procedimientos que se deben tomar por cualquier suceso de causa natural como terremotos, inundaciones, etc. Primer se debe tener un control de acceso de personas por medio de gafetes, biométricos, etc. Que puedan mantener una bitácora de entrada y salida del cuarto de datos, así como la revisión de lo que hicieron dentro del centro de datos por medio de una cámara de seguridad y ver una bitácora si ingresaron al sistema operativo del servidor. El centro de datos debe contar con el enfriamiento necesario, así como la extracción de exceso de polvos que se puedan acumular el los ventiladores y pueda causar una caída del sistema. Hay que recordar los cielos y suelos falsos y la estructuración del cableado para evitar accidentes y el uso de reguladores de voltajes y baterías o generadores eléctricos en caso de corte del fluido eléctrico, extintores, etc. Juan Carlos Xivir Velásquez 092 02 2335
Ninguna organiza esta libre de cualquier tipo de riesgo informático, en la actualidad ninguna empresa puede denominarse segura ya que ningún método cumple con el 100% de seguridad, pero, si existen un conjunto de pasos para realizar en la institución que nos ayudan a reducir los riesgos. El principal es la creación de un plan de seguridad o PSI por sus siglas que incluye todos los procesos o servicios involucrados en la administración de la información. Este plan tiene como finalidad proteger la información y todos los activos valiosos de la empresa haciendo de esta una empresa integra, confiable y disponible. Para la creación de este tipo de plan es necesario evaluar cada uno de los posibles riesgos a los que la organización está expuesto, buscar un método que reduzca o elimine dicho riesgo y ponerlo en práctica. También existe el plan de Continuidad de Negocio que nos permite rescatar a la empresa en caso de que el riesgo si ocurra de manera inesperada y nos da una alternativa para poder ejecutar en este tipo se situación. Para ello es necesario analizar el impacto que este riesgo conlleva, hacer un plan de contingencia como respaldo en dicho caso y un plan de recuperación de información en caso de alguna perdida. Debemos tener pleno conocimiento que a la hora de planificar para la seguridad de la información debemos tomar en cuenta tanto los aspectos físicos como lógicos que puedan ser un riesgo dentro de la institución. Otro factor que debemos tomar en cuenta a la hora de invertir en seguridad es que tanto dinero estamos dispuestos a perder, y debemos saber que el costo de la protección siempre debe ser menor a los activos que protegen. Ana Luisa Reyes 1092-05-8454
Un plan de seguridad de la información aglutina en forma coherente un conjunto de procedimientos que relacionan usuarios, tareas administrativas y personal especializado enfocados a implementar o ampliar la seguridad de un centro de información. Está basado en la infraestructura actual y una proyectada. Toma en cuenta cuales son las necesidades, ataques posibles, mitigación de riegos. Presenta la situación actual y la situación deseada. Define las políticas de seguridad o las amplifica si aplica, define procedimientos a seguir.
El objetivo de un plan de continuidad del negocio es prepara una serie de acciones para asegurarse mantenerse operaciones. Específicamente para el área de informática es necesario prever el paro de operaciones por un incidente de datos. El impacto de parar de operar, el impacto más alto que se experimenta es en la marca, y por trascendencia en el costo. Qué pasará con una empresa que depende del correo electrónico si este en un momento deja de funcionar? Cuanto por hora sería el costo, más el costo re recuperación?, El plan de seguridad física de contemplar el acceso a las distintas áreas físicas implementando una estructura de autorización de usuarios. Debe verificarse la seguridad de los equipos, adicionalmente debe contemplar un plan de contingencia en caso de incidentes de seguridad, definiendo procedimientos de acción. Un plan de seguridad física debe contemplar también la seguridad del equipo en relación a catástrofes naturales como terremotos, incendios, huracanes, inundaciones etc.
Un plan de seguridad informática debe enfocarse en mantener la integridad, confidencialidad y disponibilidad de la información, además de proteger los activos de la organización donde se aplique dicho plan, este plan basicamente debería estar compuesto por un análisis de riesgos o vulnerabilidaes tanto físicas como lógicas, posterior a ello la creación de planes de control para reducir y/o evitar las vulnerabilidades. Además de un plan de seguridad es de suma importancia la creación de un plan de continuidad de negocio, este plan se compone de tres partes; el análisis de impacto, en el cual se identificaran cada uno de los posibles elementos de impacto que tendrá el sistema; el plan de contigencia, el cual se realizara en base al análisis de impacto y que detalla la respuesta inmediata de la organizción a los eventos maliciosos ocurridos en el sistema y que permitiran tener, funcionando, el minimo de servicios necesarios para los intereses de la organización y por último, el plan de recuperación de desastres, en éste se estudia la capacidad de la organización para recuperarse a los posibles desastres que puedan ocurrir. Estos planes deben orientarse a los sistemas físicos y lógicos que componen la estructura de información de la empresa, así como también al factor humano, el cual es muy importante para que estos planes funcionen a cabalidad. Marvin Wilfredo Jiménez Morales / 1092-03-8479
La seguridad de una empresa es de suma importancia este tema es muy amplio se tomaran algunos temas importantes, el plan de seguridad de la información o PSI tiene como objetivo principal en efecto proteger la información y los activos de la empresa manteniendo las bases de la gestión de seguridad las cuales son confidencialidad, integridad y disponibilidad de la información. Lo que se busca con un PSI es analizar el sistema para verificar todos los riesgos existentes, dependiendo de esto se pueden desarrollar nuevas políticas o mejorar las existentes si se tienen, se pueden realizar cambios para mejorar la seguridad y lo principal es hacer conciencia dentro de la institución a las personas encargadas de los riesgos que se tiene logrando con ello generar un compromiso de resolución en sí. Muy amarrado a este tema se tiene el plan de continuidad del negocio o PCN el cual por medio de un método manual o automático se mantenga ininterrumpidas las funciones u operaciones criticas de una empresa de manera que los servicios vitales de la empresa se mantengan funcionando. Con este plan se espera poder tener un plan de contingencia con el cual se tenga de manera escrita y probada el plan para la continuidad del sistema y las operaciones de la empresa, un análisis de impacto de que se puede ver afectado y un plan de recuperación al momento del suceso. Un PCN es muy importante dado que de esta manera garantizamos los servicios mínimos para la continuidad del sistema y también se pueden identificar cuáles son los servicios mínimos esenciales para que este continúe. La seguridad física es de suma importancia dado que en muchos casos se tienen problemas de seguridad por no cuidar aspectos básicos como bloqueo de dispositivos como en algunos casos lo son los USBs, unidades de dvd o cd, es importante contar con una toma de corriente continua y regulada para evitar daños en los equipos, entre otros.
La seguridad informática es sólo uno de los componentes de la administración de riesgos, nos permite minimizar la exposición de la empresa y dar soporte a su capacidad de lograr su misión. Para ser efectiva, la seguridad debe estar integrada a los procesos del negocio y no delegada a algunas aplicaciones técnicas. Los incidentes de seguridad más devastadores tienden más a ser internos que externos. Muchos de estos incidentes involucran a alguien llevando a cabo una actividad autorizada de un modo no autorizado. Prepararse para múltiples escenarios parece ser la tendencia creciente. En un informe publicado por Giga Information Group con respecto a las tendencias de TI estimadas para el año 2012, se espera que los ejecutivos corporativos se interesen cada vez más en la prevención de desastres físicos, ciberterrorismo y espionaje de libre competencia. Implementar una política de seguridad completa le da valor intrínseco a su empresa. También mejorará la credibilidad y reputación de la empresa y aumentará la confianza de los accionistas principales, lo que le dará a la empresa una ventaja estratégica.
El Plan de Seguridad Informática es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo.
Es necesario que hoy en día se cuenten con los conocimientos necesarios para poder realizar el plan adecuado a cada una de las necesidades de las organizaciones porque las fortalezas y debilidades de las empresas varían según su enfoque o su metodología. Los planes de Seguridad aportan de gran manera una ayuda sustancial a la prevención de desastres de tipo informático.
En los temas relacionados con la Seguridad en Redes, no hay que pasar por alto lo relacionado con los Planes de Seguridad de la Información (PSI) y Planes de Continuidad del Negocio (PCN), en ocasiones las empresas o instituciones invierte una cantidad considerable de tiempo, dinero y esfuerzo en la protección de los activos de información que poseen, lo cual definitivamente es una tarea importante, sin embargo es necesario también realizar estudios y elaborar planes de seguridad de la información, estos planes conllevan a la evaluación de riesgos de seguridad en la información, la selección de controles y objetivos de control para mitigar los riesgos en la seguridad y finalmente la definición de políticas de seguridad por medio de las cuales el plan de seguridad tenga una continuidad y no se vea solo como un proyecto que finaliza después de ser implementado. En cuanto a los Planes de Continuidad del Negocio, también es importante definir y diseñar planes que permitan de alguna manera dar las directrices de los proceso y procedimientos que se deben de seguir en caso de ocurrir una paralización de los servicios, por cualquier motivo que estos se den, para que en el menor tiempo posible de puedan restablecer los mismos y/o la operación del negocio, tomando en cuenta también que el costo de la implementación de un plan de continuidad en ningún caso debería de ser mas alto que el mismo activo de información que se esta protegiendo ya que si no, no tendría sentido la implantación del mismo. Víctor Sebastián Pérez 092-96-2177
Generalmente, la Seguridad Informática consiste en asegurar que los recursos del sistema de información (Software, hardware y datos) de una organización sean utilizados de la manera como se planeó. Hoy en día, los sistemas informáticos son herramientas muy útiles. Básicamente, en ellos, se registra y procesa la información de las empresas; pero son susceptibles de amenazas; por tal razón, la Auditoria Informática se encarga de evaluar si se están cumpliendo con las medidas de control para minimizar los riesgos que conlleva la utilización de sistemas informáticos. Según las fuentes de amenazas, estos riesgos clasifican en Seguridad Lógica y Seguridad Física. El activo más importante de una organización es la información; por ello, es necesario contar con planes y políticas para protegerla.
Un plan de seguridad de la información (PSI) busca conseguir los tres conceptos previamente mencionados, y los más importantes de la seguridad; la confidencialidad, integridad y disponibilidad, se apliquen. Estos factores son esenciales para lograr controlar los riesgos y administrarlos de forma preventiva. en este plan se debe de abarcar diversas etapas, como la evaluación de riesgos, selección de objetivos, definición de políticas de seguridad. pero esto no tiene sentido sino se realiza un plan de continuidad del negocio (PCN), que tiene como propósito reducir el riesgo de la institución ante una amenaza inesperada. entonces el PCN busca ser preventivo al realizar procedimientos planificados ante una amenaza.
Es muy importante tomar otro factor y no solo es la seguridad lógica, sino también la seguridad física, como sistemas biométricos, cerraduras, alarmas, bloqueo de dispositivos de E/S etc. La aplicaciones de estos niveles de seguridad se debe de realizar con el mayor cuidado posible y analítica, esto para que no existan defectos y por definición vulnerabilidades tanto fisicas y logicas en el sistema.
Es importante saber que tan vulnerable esta la información de una organización y por medio de los procesos y servicios de la administración dentro de un plan de seguridad se puede proteger la información y los activos de la organización, siempre y cuando tratando de conseguir la confidencialidad, integridad y disponibilidad de los datos. El alcance que pretende evaluar el PSI son los riesgos de seguridad a los que está expuesta la información, lo importante es hacer conciencia a los miembros de la empresa acerca de la sensibilidad e importancia de la información y servicios críticos. El Plan de Continuidad del Negocio PCN es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones / operaciones críticas, su finalidad es contar con una estrategia bien planificada con procedimientos fáciles que orienten para tener una solución alternativa y que permita restituir los servicios a la hora de una eventual paralización, ya sea de forma parcial o total. El alcance que del PCN es tener un análisis de impacto, un plan de contingencia y un plan de recuperación de desastres, ya que garantiza la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas y permite que la institución continué funcionando en caso de una interrupción y que sobreviva a una interrupción. La mejor manera de proteger los datos es tomando en cuenta la seguridad física y lógica, por medio de un plan estratégico de análisis de riesgos ya que no sólo nos lleva a establecer un nivel adecuado de seguridad, sino que permite conocer mejor el sistema que vamos a proteger y cuanta protección es necesaria y de qué forma la vamos a proteger. Algunas políticas de seguridad que se pueden tomar en cuantas son las administrativas, las de control de acceso y las de flujo de información, en las que se tienen que implementar ciertas medidas básicas como el plan de emergencia y el plan de recuperación.
El propósito de establecer este Plan de Seguridad Informática es para proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Pero igual de importante es tener un plan de continuidad de negocio, que es un proceso para proteger de una interrupción inesperada de la funcionalidad de la empresa; la disposición de este plan puede depender de la cantidad, la importación que esta representa tanto económica como de funcionalidad la información para la empresa. Estas políticas emergen como el instrumento para concienciar a sus miembros acerca de la importancia y sensibilidad de la información y servicios críticos, de tal forma que permitan a la empresa cumplir con su misión. El proponer esta política de seguridad requiere un alto compromiso de la institución, agudeza técnica para establecer fallas y deficiencias, y constancia para renovar y actualizar dicha política en función de un ambiente dinámico. El plan de continuidad debe garantizar la Disponibilidad de los sistemas de información, el Recupero rápido y completo de los sistemas de información, la Integridad de la información y la Confidencialidad de la información. Nuestra Propuesta debe implementar políticas de Seguridad Informática, identificación de problemas, desarrollo del Plan de Seguridad Informática y análisis de la seguridad en los equipos de computación. Julio Roberto Blas 1092-01-731
Se entiende por seguridad de la información a todas aquellas medidas preventivas y reactivas del hombre, de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma. Este campo ofrece muchas áreas de especialización, incluidos la auditoría de sistemas de información, planificación de la continuidad del negocio, ciencia forense digital y administración de sistemas de gestión de seguridad, entre otros. En la seguridad de la información es importante señalar que su manejo está basado en la tecnología y debemos de saber que puede ser confidencial: la información está centralizada y puede tener un alto valor. Puede ser divulgada, mal utilizada, ser robada, borrada o saboteada. Esto afecta su disponibilidad y la pone en riesgo. La información es poder, y según las posibilidades estratégicas que ofrece tener a acceso a cierta información, la cual se clasifica en Crítica: Es indispensable para la operación de la empresa. Valiosa: Es un activo de la empresa y muy valioso. Sensible: Debe de ser conocida por las personas autorizadas La finalidad del PSI es proteger la información y los activos de la organización, tratando de conseguir Confidencialidad que es la propiedad de prevenir la divulgación de información a personas o sistemas no autorizados. Integridad es el mantener con exactitud la información tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados. Disponibilidad que es el acceso a la información y a los sistemas por personas autorizadas en el momento que lo requieran. El PCN o Plan de Continuidad del Negocio es el resultado de la aplicación de una metodología interdisciplinaria usada para crear y validar planes logísticos para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. OJO: El concepto de seguridad de la información no debe ser confundido con el de seguridad informática, ya que este último sólo se encarga de la seguridad en el medio informático, pudiendo encontrar información en diferentes medios o formas.
El Plan de Seguridad Informática Surge por la Necesidad del resguardo de la información de la empresas, gobiernos etc, para lograr el éxito de esto debemos de tomar en cuenta todos los servicio y procesos que tiene relación con la administración de la seguridad, el objetivo primordial de un plan de seguridad informática es dar confidencialidad. Integridad y disponibilidad de los datos así mismo proteger los activos de la organización. Las organizaciones deben de capacitar a sus empleados sobre todo el grado de responsabilidad que tienen en el aspecto de la seguridad, ya que se ha comprobado que los empleados son el origen de muchos ataques en la organizaciones para evitar esto se deben de establecer una políticas de seguridad que ayudaran al mejor resguardo de a información , entre estas políticas podemos mencionar los procesos políticas que se debe de llevar para tener la continuidad del Negocio, esto es creado para reducir el riesgo de la interrupción de los servicios u operaciones críticas dentro de una organización ya sean manuales o automatizadas, los proceso de continuidad del negocio analiza el impacto que se tiene cuando estos procesos son interrumpido y también se analiza la forma en que se puede evitar y como se puede reaccionar cuando sucede la interrupción. Se debe de tomar encuenta cuando nos referimos a interrupción puede ser lógicas programas de computadores o físico como la energía eléctrica, perdida de servidores.
El uso cada vez más creciente de las tecnologías de la información por parte de las diversas empresas y demás organizaciones también se refleja cada vez más en las oficinas, empresas y entidades sistematizadas o en proceso de sistematización, lo que ha dado lugar en la mayoría de los casos a la dependencia de frágiles sistemas informáticos y redes de datos para soportar las funciones más críticas de la actividad empresarial; no existe una amplia conciencia sobre la importancia de garantizar en la misma medida, la seguridad de los recursos involucrados. Por lo general, no es un tema que se considere en forma apropiada por los directivos de las empresas, la importancia y el apoyo que se le brinda es relativamente poco o ninguno, por lo que disponer de planes que garantice la continuidad del negocio ante desastres ya sean de origen internos o por factores externos es hoy en día una prioridad, que permite minimizar el impacto sobre la organización y recuperarse de las pérdidas de activos de información hasta un nivel aceptable a través de una combinación de controles preventivos y de recuperación. La finalidad del PSI es en establecer los principios organizativos y funcionales de la actividad de Seguridad Informática en una entidad en él se encuentran claramente las políticas de seguridad y responsabilidades de cada uno de los integrantes que intervienen en el proceso informativo, así como las medidas y procedimientos que permitan prevenir, detectas y responder a amenazas. La finalidad del PSI es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. El PCN (Plan de Continuidad del Negocio). Es tener un plan B como una estrategia planificada, como una serie de procedimientos que faciliten u orienten a tener una solución. Aída Isabel Chamay Corado 1092-05-8915
El contar con un plan de seguridad informatico es importante, ya que la informacion es la que mueve a la empresa, es necesario que se cuente con planes de contingencia a nivel fisico y a nivel logico. Se debe contar con instalaciones adecuadas alejandos de fuentes termicas o acuaticas que represente riesgo a nivel fisico para el equipo de computo y tambien es necesario contar con planes de seguridad a nivel logico como por ejemplo hacer copias de seguridad cada cierto tiempo, para evitar perdidas grandes de informacion, de ser posible contar con sucursales para replicas de informacion. Una observacion importante es que para los accesos a nivel fisico, lo ideal es que se tenga acceso por medio de algun medio biometrico, debido a que el uso de tarjetas puede dar lugar a que personas no autorizadas accedan al equipo de computo y dado en algun momento hacer daño. Se deben establecer politicas de seguridad a nivel de sistemas almacenamiento, copias de seguridad, y lo mas importante,instar al usuario a que colabore conla seguridad de la informacion
Hoy en día es difícil hacer conciencia a los miembros de una empresa sobre la importancia que tiene nuestra información y el porque debemos de protegerla. Por estas razones debemos de invertir en seguridad ya que en varias ocasiones la información se convierte en un punto vulnerable dentro del sistema de información por la falta de compromiso que existe dentro y fuera de la empresa perdiendo así la integridad delos datos. Es por eso muy importante establecer un PSI y un PCN, el primero nos permite detectar problemas de vulnerabilidad, realizando cambios para cubrir los riesgos existentes. El objetivo principal de psi es establecer políticas de seguridad para comprometernos con la institución. El segundo nos permite tener estrategias funcionales establecidas para poder restituir los servicios de una organización ante una eventualidad. Es recomendable proteger los datos por medio de una seguridad lógica y física; establecer un plan de contingencias para poder restituir los servicios de la organización de manera eficiente. Y así asegurar que nuestra empresa continúe funcionando en caso de una interrupción. Yara Robles 1092-00-4190
El PSI (Plan de Seguridad Informática) busca proteger la información y los activos de la empresa en general, tratando de conseguir el CID de la información; y las responsabilidades de cada uno de los involucrados dentro de la organización. Evaluando los riesgos, generando controles, definiendo políticas, detectando necesidades y desarrollando normas que garanticen la seguridad dentro de todos los procesos que el flujo de la información conlleva. El PCN (Plan de Continuidad de Negocio) pretende prevenir los riegos que ante la suspensión inesperada de las operaciones de la empresa, como puede ser el que hacer ante una catástrofe, que acciones tomar en el punto cero. Planiifcar una estrategia que guie a la empresa por una serie de procedimientos que faciliten la pronta restitución de operaciones, minimizando los tiempos de acción, para que la paralización de las funciones se cada vez menor. Analizando el impacto, llevando acabo el plan de contingencia y la recuperación de desastres. Tanto el PSI como el PCN deben contemplar la aplicación de seguridad física y lógica. Como son el uso de herramientas de protección de la información en el mismo medio en el que se genera o transmite, protocolos de autenticación entre cliente y servidor y aplicación normativas. Procedimientos de protección física del sistema: acceso personas, incendio, agua, terremotos, etc. Medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad, planes de contingencia, aplicación de normativas, etc.
El plan de seguridad informática nos ayuda a tomar en cuenta que debemos salvaguardar la información con la que cuenta la empresa, ya que es uno de nuestros activos y no debemos descuidarla en ningún momento en el que requiramos de los datos (confidencialidad, integridad y disponibilidad). Además podemos mencionar que también los empleados son responsables del manejo de la información, por lo cual deben actuar apegados a las normas para no tener problemas. Además contamos con el PCN el cual se denomina por sus siglas, plan de continuidad del negocio, que no es más que un procedimiento para evitar la interrupción del negocio en algún momento crítico. El PCN contempla 3 aspectos fundamentales los cuales son: análisis del impacto, plan de contingencia y plan de recuperación de desastres. Por último debemos tomar en cuenta que los datos los debemos de proteger tomando en cuenta tanto la seguridad física como la lógica, ya que de ésta forma no se nos podrá escapar algún detalle al momento de cualquier accidente dentro de la empresa.
Un plan de seguridad de información (PSI), constituye la implementación se sistemas de seguridad lógico: aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo se permita acceder a ellos a las personas autorizadas para hacerlo; Sistemas de seguridad físico: Mecanismos de prevención y detección, destinados para proteger todos los dispositivos físicos de los sistemas., así como la aplicaciones de políticas internas de seguridad; con el fin de proteger la información contra intrusos y desastres. Dentro de los planes de continuidad del negocio ante ataques y desastres, podemos mencionar los DRP (Plan de recuperación ante desastres) el cual se apoya en medidas de seguridad como BackUp de la información, alta disponibilidad de la información (redundancia de información y hardware en áreas críticas).
Pero tanta seguridad no serviría de nada, si no se establecen políticas de seguridad física, ya que aunque tengas un excelente cortafuegos, un antivirus, anti span, etc. pero si el hardware está al alcance de los intrusos, estos podrían extraer físicamente los discos duros, o hacer modificaciones que dejarían vulnerables nuestros sistemas. Por lo que se deben establecer medidas de restricción de usuarios, en áreas criticas de la institución, de manera que solo usuarios con permisos previamente autorizados tengan acceso.
El conjunto de todas estas técnicas generara un PSI que buscara mantener la integridad de los bienes físicos y lógicos de la empresa.
Antes de redactar un plan de seguridad debemos evaluar lo que vamos a proteger. Comenzando por nuestros datos. Siguiendo por Software, y Hardware, claro está incluyendo la disponibilidad del mismo.
Un dato importante es que la mayoría de los ataques son realizados por personas que se encuentran dentro de la empresa.
Una perdida de información no solo puede darse por ataques de Hackers o ataques internos, sino también por pérdida de listados con datos de clientes, pérdida de computadoras portátiles, PDAs, agendas electrónicas, etc.
Los desastres naturales también constituyen una amenaza, acompañado de errores humanos.
Debido a la complejidad de los ataques se hace necesario contar con un plan de continuidad del negocio en el cual sean vistos aspectos como el análisis de riesgos, plan de contingencia y plan de recuperación de desastres.
Las fases que incluye un PCN (plan de continuidad del negocio) y/o PRD (plan de recuperación de desastres) son:
Gestión e iniciación del proyecto: Establece un equipo para el proyecto y una estrategia para desarrollar el plan.
Análisis de impacto sobre el negocio (AIN) o BIA: Identifica los aspectos críticos relacionadas con el máximo tiempo en que un proceso puede estar no disponible.
Estrategia de recuperación: Identifica y selecciona las apropiadas alternativas de recuperación para lograr los tiempos requeridos definidos en el AIN.
Diseño del plan y desarrollo: Se trata en esta fase de documentar las estrategias de recuperación.
Prueba, Mantenimiento, y entrenamiento: La idea es esta fase es probar las estrategias de recuperación anteriormente definidas, manteniendo actualizado el plan y dándolo a conocer a todos los empleados.
Las políticas de seguridad, son otros de los elementos sustanciales a la hora de definir y diseñar una red de comunicaciones. Estas en sí, su principal objetivo es la de asegurar la continuidad del negocio, minimizando los riesgos que la red interna y externa contiene. Sin embargo, de nada sirve contar con un plan de seguridad, con todas las políticas pertinentes, si sólo se tiene en papel, y es allí el papel del Auditor en Sistemas debe verificar si las normas o las políticas de seguridad, están cumpliendo a cabalidad las normas por el cual han sido diseñadas. No obstante, se debe de planificar y organizar de manera consistente la seguridad física de una organización, implementado correctamente los dispositivos de seguridad de la red, de manera, que la red interna y externa de la organización, funciones de forma continua y operando en un plazo de las 24 horas del día y los 365 días del año. Esto debe ser garantizado por parte de los encargados de los sistemas de redes.
Un plan de seguridad en Informática, pretende presentar la información sobre los riesgos de tecnología de información, plantear políticas de seguridad para la empresa y una serie de etapas con las cuales se llegan a implementar las restricciones y procedimientos planteados en las políticas, comprendiendo la revisión de las siguientes funciones al interior del área de sistemas: - Políticas y procedimientos para administrar los riesgos de TI. - Actividades de desarrollo y mantenimiento de sistemas informáticos. - Seguridad de la información - Administración de la seguridad de la Información. - Aspectos de la seguridad de la información (lógica y física). - Inventario periódico de activos asociados a TI - Operaciones computarizadas. - Administración de las operaciones y comunicaciones - Procedimientos de Respaldo - Planeamiento para la continuidad de negocios * Auditoria de sistemas
En la administración de seguridad de la información se basan los planes de seguridad de la información, este debe incluir todos los procesos y servicios involucrados, su objetivo es proteger dicha información pues son activos importantes para una organización, lo que debe asegurar es la confidencialidad, disponibilidad e integridad de los datos mencionando a los empleados responsables de cada asignación. La finalidad entonces de la PSI consiste en poder evaluar los riesgos a los que esta expuesta la información y poder indicar controles para mitigarlos, de igual forma establecer políticas para que los controles permanezcan en el tiempo.
El PCN o Plan de Continuidad del Negocio es el resultado de la aplicación de una metodología interdisciplinaria usada para crear y validar planes logísticos para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. Finalmente al realizarlo la organización contará con una estrategia planificada y procedimientos que faciliten tener una alternativa ante una eventualidad de paralización total o parcial.
Ademas de las planes se debe contar también con seguridad física y lógica de los datos. En la seguridad física se vela por procedimientos físicos del sistema, medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad planes de contingencia aplicación de normativas.
El plan de seguridad informática es el documento que describe el Sistema de Seguridad Informática diseñado y establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo, también garantiza la confidencialidad, integridad y disponibilidad de la información, el plan de seguridad comprende software, bases de datos, metadatos, archivos y todo lo que la organización valore (activo) y signifique un riesgo si ésta llega a manos de otras personas o se perdiera en caso de un siniestro.
Es muy importante tomar en cuenta que no solo existen riesgos de intrusiones, perdida o robo de información, dentro del plan de seguridad también existe el riesgo de pérdida por siniestros (terremotos, inundaciones, incendios) por lo que hay que tomar en cuenta toda la infraestructura (Servidores, terminales, líneas telefónicas, entre otros), incluido el personal, deben saber qué hacer en caso de un siniestro.
En caso de que no se pueda evitar y ocurra un siniestro es importante contar con el plan de continuidad del negocio y de esta forma establecer una estrategia que permita una solución alternativa para restablecer las operaciones críticas de la empresa para continuar operando.
A pesar de que la mayoría de las empresas el día de hoy están conscientes de la importancia de la seguridad de la información, aún falta mucho por hacer. Por ello es necesario tomar plena conciencia y comenzar a tomar acciones, antes de que sea demasiado tarde para su negocio. Las políticas de seguridad son las que nos establecen estándares de seguridad y que se deben ser seguidos por todos los involucrados con el uso y mantenimiento de los activos. También hay que priorizar las acciones de seguridad, o sea iniciar un trabajo de implementación de seguridad en las áreas más estratégicas, esto con el fin de poder identificar el rumbo de las acciones de seguridad. Después de conocer las amenazas y puntos débiles del ambiente, adquiridos en el análisis de riesgos, o después de la definición formal de las intenciones y actitudes de la organización que están definidas en la política de seguridad de la información, debemos tomar algunas medidas para la implementación de las acciones de seguridad recomendadas o establecidas. Recordemos que las amenazas son agentes capaces de explotar fallos de seguridad, que denominamos puntos débiles y, como consecuencia de ello, causan pérdidas o daños a los activos de una empresa y afectan sus negocios. No basta conocer las fragilidades del ambiente o tener una política de seguridad escrita. Debemos instalar herramientas, divulgar reglas, concienciar a los usuarios sobre el valor de la información, configurar los ambientes etc. Debemos elegir e implementar cada medida de protección, para contribuir con la reducción de las vulnerabilidades. Cada medida debe seleccionarse de tal forma que, al estar en funcionamiento, logre los propósitos definidos. Estos propósitos tienen que ser muy claros. • Un BCP o business Continuity Plan asegura la continuidad de las operaciones en caso de desastre, nos va a brindar cuales son las operaciones mínimas básicas que asegurará a nuestra empresa mantenerse a flote. (inmediato, a corto plazo) • Un DRP o Disaster Recover Plan es un plan que nos indica que medidas tomar para recuperamos en caso de un desastre, restaurará nuestro sistema en el menor tiempo posible. (con tiempo, a largo plazo)
Un plan de seguridad es un documento de gran importancia para que una empresa pueda funcionar correctamente ante un posible fallo en los sistemas de cómputo, accidentes provocados o ya sea al fenómeno natural. Así mismo deben de considerarse los sabotajes o de forma involuntaria. Con esté documento se debe de lograr que la empresa tenga la perdida mínima protiengiendo siempre el activo más valiosa de está (la información).
Un plan de contingencia del negocio debe ser el adecuado ya que este debe contener las responsabilidades de los empleados con respecto a los bienes que están dentro de la empresa como fuera de está. Para que los activos o sistemas estén resguardados correctamente, se hace mención a dos conceptos que se deben de aplicar la seguridad lógica, la cual consiste en implementar herramientas de protección de la información, protocolos de autenticación entre los diferentes nodos de la red y los servidores, así como la aplicación de normas de seguridad. Y también se debe aplicar lo que se conoce como seguridad física, esta consiste en implementar procedimientos de protección física tanto a la información como a los ambientes de laborales, esto se puede lograr mediante control de accesos restringidos mediante gafetes de seguridad, medidas contra incendios, inundaciones, etc. Para todos estos temas es importante saber que debe existir dentro de la empresa un ambiente o cultura de seguridad informática. Creo que allí es el punto medular del aseguramiento de la continuidad del negocio.
Un Plan de Seguridad de la Información nos permite desarrollar e implementar políticas de seguridad para garantizar la disponibilidad, integridad y confidencialidad de la información.
Un buen plan de seguridad debe contemplar procesos de análisis de riesgos de la seguridad física y lógica que detecte posibles vulnerabilidades a las pueda estar expuesta la información.
Proveer seguridad a los sistemas de información no solo implica desarrollar o implementar un plan de seguridad, este debe estar acompañado de un Plan de Continuidad del Negocio que permita realizar análisis de impacto que identifique los diversos eventos que puedan impactar la continuidad de las operaciones del negocio.
El plan de continuidad de negocios nos debe ayudar a reducir los riesgos ante cualquier interrupción inesperada de las funciones u operaciones básicas independientemente si son procesos manuales o automatizados. Estos deben ser parte integral de una estrategia planificada y consensuada entre las partes involucradas y que permitan obtener soluciones alternativas de forma parcial o total.
En conclusión un plan de seguridad de puede implicar costos elevados de operación pero debemos tener en cuenta que el activo mas valioso de toda organización es su “Información” entonces protegerla, es uno de los objetivos principales que fortalece la continuidad del negocio para satisfacer y exceder las expectativas de sus empleados, socios y principalmente sus clientes.
La finalidad del Plan de Seguridad de Información (PSI) es proteger la información y los activos de la organización, logrando con su estrategia la confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización, según su rol y perfil; este plan permite desarrollar normas y procedimientos que pautan las actividades relacionadas con la seguridad informática y la tecnología de información y también permite analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. El Plan de Continuidad del Negocio (PCN) es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones y/o operaciones críticas, su finalidad es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización, su alcance es en análisis de impacto, plan de contingencia y plan de recuperación de desastres. El estudio de la seguridad informática puede plantearse desde dos enfoques: Seguridad Física que se refiere a la protección física con procedimientos de acceso personas, incendio, agua, terremotos, también realizando planes de amenazas físicas, planes de contingencia, etc; y la Seguridad Lógica que se refiere a la protección de la información en su propio medio mediante el uso de herramientas de seguridad, protocolos de autenticación entre cliente y servidor, aplicación de normativas.
La seguridad de la información, implica aplicar procesos de cambio que ayuden a mantener la disponibilidad y la confiabilidad en tiempo real. Para esto, la creación de un Plan de Seguridad Informática es fundamental. Se detallan los procesos, acciones y políticas necesarias para elevar, mantener y garantizar niveles de seguridad adecuados para las organizaciones. Todo PSI tiene la finalidad de generar protección a la información, sistemas y activos de la empresa. Además de generar la confidencialidad y disponibilidad a todos los usuarios de la red. Aquí se definen roles, responsabilidades y perfiles dentro de la organización para establecer las actividades que cada empleado debe realizar para cumplir con el objetivo. Con la definición de políticas se generaliza la visión del plan de seguridad dentro de la empresa, también se realizan análisis de riesgos y detección de vulnerabilidades para identificar acciones aplicables a la disminución de estos. Por otra parte existe también el Plan de Continuidad del Negocio, el cual es de suma importancia para la supervivencia de la organización con procesos diseñados para reducir los riesgos frente a sucesos inesperados. Este plan abarca contingencias y recuperación ante desastres. Es decir, plantea acciones a realizar después de sucedidos los eventos de riesgo; esto garantiza la recuperación inmediata de las actividades en la empresa. La seguridad física es punto clave en la garantía de seguridad informática, esto se refiere al uso de herramientas de protección de hardware y mecanismos de control para usuarios. En si la seguridad abarca todo lo relacionado a infraestructura y su contenido (la información) Blanca María Vargas Barillas / 2392-05-15593
Hablaremos acerca de procesos fundamentales en un sistema de seguridad, estas son PSI Plan de Seguridad de Información que su fin fundamentales el de proteger las tres características fundamentales de un sistema de información que son la Confidencialidad, Integridad y Disponibilidad. Esto por medio de conocer todas las posibles vulnerabilidades con las que se cuenta y así desarrollar tanto sistemas como normas para prevenirlas; por otro lado tenemos la PCN Plan de Continuidad del Negocio es en el cual se estipulan sistemas y procedimientos en el caso de una eventualidad para mantener la empresa activa no contando con el sistema original sino con un sistema auxiliar en lo que la eventualidad en sistema original es tratado según fue contemplado en el caso de que sucediera para reactivar el sistema al 100% lo mas rápido posible para evitar deterioro en los servicios que esta empresa proporcione. Por otro lado tenemos que siempre tener en cuenta son los sistemas de seguridad tanto físicos como lógicos con los que nuestro sistema debe de cumplir. Cuando hablamos de sistemas físicos se habla acerca de formas de restringir el acceso a puntos de red como física para evitar ataques presenciales por medio de contraseñas, tarjetas de identificación, etc. mientras que en la parte lógica nos referimos a métodos de monitoreo de flujos de información, encriptación, normativas, etc. todo con el fin de evitar que usuarios tengan acceso a información que no les compete. Un sistema bastante utilizado es el BLP que determina que La escritura hacia abajo está prohibida, La lectura hacia arriba está prohibida, Es el llamado principio de tranquilidad que significa que nadie que no tenga autorización de un nivel superior tiene que poder ver archivos que no competen a su nivel de seguridad ni tampoco alguien de arriba puede estar manipulando información que este por debajo de su nivel de seguridad.
Los planes de seguridad informática representan un tipo especial de reglas de negocios documentadas. Los trabajadores deben recibir instrucciones claras y definitivas que los ayuden a garantizar la seguridad de la información generada en el día a día de su trabajo.
Cada día es más evidente la necesidad de centralizar los Planes de Seguridad para cubrir todo lo que sucede en la empresa. Por ejemplo, los administradores de sistemas no pueden instalar con seguridad un cortafuego, a menos que hayan recibido un grupo de políticas claras, porque ellas estipulan el tipo de servicios de transmisión a permitir, cómo autentificar las identidades de los usuarios y cómo llevar un registro de los eventos relativos a la seguridad. Por ejemplo, los planes son importantes documentos de referencia para auditorías internas y para la resolución de disputas legales acerca de la debida prontitud de la gerencia.
Las políticas de seguridad son una fuente de instrucciones importante y referenciada que detalla cómo los trabajadores pueden proteger tanto la información como los sistemas que la contienen. existen indicios de que los documentos de políticas pueden servir de demostración de la intención original de la gerencia y, por lo tanto, reducir su potencial responsabilidad legal, e inclusive pueden utilizarse como evidencia de las intenciones gerenciales de salvaguardar información intelectual. Este es un paso esencial pero desatendido en la protección de los secretos industriales. Igualmente, los planes de seguridad informática pueden ser evidencia de los procesos de control de calidad, lo cual puede dar la suficiente confianza de como se maneja la información dentro de la empresa.
Debemos estar claros que la seguridad de nuestros sistemas no dependen nada mas de dispositivos físicos o software, si no que tenemos que tener también un Plan de Seguridad de Información que busquen conseguir integridad, confidencialidad y disponibilidad de los datos, ademas de hacer que todos los que intervienen en la empresa asuman la responsabilidad de minimizar los riesgos. Ademas de esto debemos contar con un plan de continuidad del negocio, ya que existen empresas que pueden cambiar de administración y la seguridad se vea en riesgo.
Para esto, conociendo la naturaleza de nuestras empresas, elaborar un plan de contingencia y un plan de recuperación de desastres, lo cual nos garantice el funcionamiento optimo de nuestros sistemas.
La finalidad principal de los planes de seguridad informática es salvaguardar el activo mas valioso de la empresa, es decir permite incluir los procesos y servicios involucrados en la seguridad de la información, determinando el alcance y enfoque de los procesos involucrados en la administración de la seguridad, permitiendo la confidencialidad, integridad y disponibilidad de la información. Plan de continuidad de negocios es un proceso diseñado para reducir el riesgo de la empresa ante una interrupción inesperada de sus funciones u operaciones críticas, las cuales son necesarias para la supervivencia de la empresa. permitiendo que una estrategia planificada, genere una serie de procedimientos que faciliten una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización, ya sea de forma parcial o total. Seguridad física nos permite crear medidas de prevención de riesgos físicos a través de las política de seguridad, planes de contingencia, etc. como lo son las cerraduras, tarjetas con alarma, bloqueo de dispositivos, tarjeta de control de acceso al hardware, Suministro para las ininterrupciones des corriente, Toma de tierra, etc.
PSI: Plan de seguridad de la información (procesos/servicios) involucrados en la administración de la seguridad de la información. La finalidad es proteger la información y los activos para conseguir confidencialidad, integridad y disponibilidad de los datos. PCN: es plan de continuidad del negocio, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada. La finalidad es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa. Alcance del PCN: Análisis de impacto – es la identificación de los diversos eventos que podrían impactar la continuidad de las operaciones y la organización, plan de contingencia – del análisis del impacto y riesgos se genera un plan que es un instrumento sistematizado que facilita y orienta una solución, plan de recuperación de desastres – su objetivo es la evaluación de la capacidad de la empresa para restaurar los servicios a nivel acordado de calidad. Seguridad Lógica: uso de herramientas de protección de la información, protocolos de autenticación y aplicación de normativas Seguridad Física: Procedimiento de protección física del sistema: acceso de personas, incendios, agua, terremotos, etc. Implantación de Medidas Básicas: Plan de emergencia, Plan de recuperación. Plan de Continuidad: Oficinas de servicios propia, acuerdos con empresas vendedoras de HW y SW, acuerdo recíproco entre dos o más empresa, Arranque en frío, sala vacía propia, Arranque en caliente, sistema Up Start, Sistema Hot Start.
La finalidad de un plan de seguridad es proporcionar un mapa que permita no sólo identificar las posibles debilidades y puntos a reforzar dentro de un espacio físico y lógico determinado, sino también proporciona la suficiente información sobre cómo abordar la solución de los mismos.
Un plan de continuidad del negocio tiene como finalidad garantizar la disponibilidad de los sistemas de cómputo aún en casos de emergencia y calamidad, que permitan que el negocio pueda seguir operando aún en condiciones adversas y con limitación de recursos.
La seguridad física identifica riesgos y permite tomar medidas para minimizar que se vea comprometida la integridad de los equipos, así como la información contenida en ellos.
Un PSI es un plan de Seguridad de la información incluye todos los procesos y servicios involucrados en la administración de la seguridad de la Información, su finalidad es proteger la información y los activos de la organización tratando de conseguir confidencialidad, integridad y disponibilidad de los datos, en la cual debe de existir un responsable de cada servicio en la empresa.
En una empresa es importante que exista siempre un Plan de Continuidad del Negocio, el cual es diseñado para reducir el riesgo de empresa ante una interrupción inesperada de sus funciones o de algún desastre que no este previsto.
Cuando hablamos de seguridad física nos referimos a todos aquellos mecanismos generalmente de prevención y detección-- destinados a proteger físicamente cualquier recurso del sistema; estos recursos son desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema, pasando por la propia CPU de la máquina. Dependiendo del entorno y los sistemas a proteger esta seguridad será más o menos importante y restrictiva, aunque siempre deberemos tenerla en cuenta.
En toda organización deberíamos contar con un plan de seguridad informática PSI. que busca la protección de los activos de la empresa, donde dentro de esos activos esta principalmente la información. Para todas las empresas lo principal es que la información sea confidencial, integra y que siempre esté disponible, he aquí la importancia de los PSI porque estas tres características son las principales en un PSI. Los PSI se enfocan en la evaluación de riesgos de seguridad a los que la información de la empresa se ve expuesta, asimismo busca proponer qué controles se deben colocar para reducir, eliminar o evitar los riesgos previamente identificados. Todo PSI debe contemplar políticas de seguridad, que serán las que regirán las actividades y las buenas prácticas dentro de la empresa para que todos los colaboradores de la empresa puedan también apoyar al resguardo de la información. Se debe considerar que cuando se implementan políticas y controles nuevos hay resistencia al cambio, pero en la búsqueda de la seguridad un PSI nos permite el desarrollo de normas y procedimientos, y también la oportunidad de analizar cambios o adaptaciones que cubren los riesgos existentes. Pero no solo el PSI deben poseer las empresas, también deben tomar en cuenta que existen los PCN que son los planes de continuidad del negocio. Que sucede si ocurre algo inesperado en la empresa, se va la luz, un desastre o algo similar? que deberíamos hacer en esos casos? Para esto es que existen los PCN, que es un proceso diseñado para reducir el riesgo de la empresa ante una interrupción inesperada de sus funciones/operaciones criticas, las cuales son necesarias para el funcionamiento de una empresa. Los PCN buscan contar con una estrategia y procedimientos para que la empresa se oriente a tener alternativas y como actuar en caso de siniestros, y brindarle una solución alternativa para restablecer los servicios de la organización. Incluida la seguridad física, la cual está formada de la seguridad física y lógica, física en el caso de protección y medidas de prevención físicos y lógicos por medio de políticas y la seguridad lógica por medio de herramientas, protocolos y aplicación de normas. Estar conscientes que estamos expuestos a ciertos riesgos nos lleva a identificar y evaluar los riesgos a sufrir como ataques y perdidas de datos, y compararlo con lo que nos repercutiria monetariamente o en tiempo. Así que a poner en marcha un plan de seguridad y análisis de riesgos y vulnerabilidades.
Un plan de seguridad informática, es un manual donde se definen los lineamientos de la planeación, el diseño e implantación de un modelo de seguridad con el objetivo de establecer una cultura de la seguridad en la organización.
Este Plan presenta las Políticas de Seguridad Informática cuyo contenido se agrupa en aspectos como la seguridad Lógica, Seguridad en las Comunicaciones, Seguridad de las Aplicaciones, Seguridad Física, seguridad ambiental,etc.
Un plan de seguridad debe de ayudarse con las políticas administrativas, políticas de control de acceso y políticas de flujo de información. El plan debe resolver interrogantes como cuáles son los recursos de información relacionados con los procesos críticos del negocio de la organización y cuál es el período de tiempo máximo que el negocio puede soportar sin que esos recursos funcionen antes de que se experimenten pérdidas significativas o inaceptables para la supervivencia del negocio Por regla general, este tipo de planes se desarrollan de forma distinta para cada organización, según la dependencia y actividad de cada una.
Un Sistema de Seguridad Informática es un conjunto de medios administrativos, medios técnicos y personal que de manera interrelacionada garantizan niveles de seguridad informática en correspondencia con la importancia de los bienes a proteger y los riesgos estimados.
El Plan de Seguridad Informática es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo. Durante el proceso de diseño de un Sistema de Seguridad Informática se distinguen tres etapas: 1) Determinar las necesidades de protección del sistema informático objeto de análisis, que incluye: Caracterización del sistema informático. Identificación de las amenazas y estimación de los riesgos. Evaluación del estado actual de la seguridad.
2) Definir e implementar el sistema de seguridad que garantice minimizar los riesgos identificados en la primera etapa. Definir las políticas de seguridad. Definir las medidas y procedimientos a implementar.
El plan de seguridad es un documento que tiene un valor muy alto para las empresas, debido a que en el están todas las directrices para poder implementar una red segura. Cuenta con todos los datos relacionados a la red como lo son: Diseño, gráficas o planos de la distribución de la red, métodos que se utilizarán para minimizar el riesgo de sufrir un ataque, el detalle de la infraestructura, la topología de la red, el hardware y el tipo de cableado a utilizar, politicas de seguridad tanto para los administradores como al resto de los colaboradores de la empresa. Es de mucha importancia contar con un plan de seguridad ya que es una herramienta para minimizar los riesgos a los que esta expuesto una red los cuales pueden ser: Intrusión, pérdida de información, sabotaje, inoperatividad. Carlos Alberto Archila Orozco 092-04-4286
El plan de seguridad de nuestra empresa es algo que debemos de tomar con mucha seriedad puesto que de alguna manera nos dará seguridad para poder trabajar con mayor confianza de que no está en riesgo la información que estamos manipulando, la mejor manera para realizar un plan es utilizar una metodología previamente establecida y también revisar las actualizaciones CERT para tratar de anticiparse a los nuevas amenazas que puedan llegar a causar algún tipo de daño a nuestro proyecto, al establecer esto debemos siempre tomar en cuenta el PCN, asegurando así la continuidad del negocio para que de ninguna manera este se frene y por lo tanto no se pierdan ningún tipo de ganancia que se pudiera generar en el tiempo que no estaría funcionando el mismo, también nuestro plan de contingencia debe de ser lo más realista posible y abarcar la mayor cantidad de precauciones posibles, por supuesto que esto no solo tiene que estar concentrado en propiamente en lo informático sino que también en la parte física y lógica que no comprende la informática, y tenemos que evaluar esto de la mejor manera viendo siempre el impacto que pudiera llegar a tener en las actividades para la organización que será elaborado el plan de seguridad que debe de ser lo más grande posible para así tener un plan de seguridad general y dentro del varios específicos para las distintas áreas y actividades que se llevaran a cabo en el lugar para el cual se diseñará el mencionado plan
La definición de procedimientos y políticas de administración de la seguridad han tomado auge durante estos últimos años. Un plan de seguridad informática es un documento es utilizado para la evaluación de los riesgos de acuerdo a un análisis GAP para identificar brechas de seguridad que deben ser reducidas. Una vez identificadas las brechas, se busca la reducción de estas proponiendo políticas de seguridad tanto lógicas como físicas. Las políticas de seguridad lógica se enfocan principalmente en la forma de administrar las configuraciones de los equipos que permiten a los usuarios acceder a la organización de la empresa. Estas políticas están enfocadas en forzar la seguridad a nivel de parametrizaciones y configuraciones, esto como ejemplo, políticas que permitan definir mecanismos de autenticación integrada, definición de password y los tiempos en que estos serán cambiados. La seguridad física, se enfoca en la forma como se van a administrar los activos de la empresa y como estos van a ser resguardado y accedido, permitiendo tener dispositivos o mecanismos de autenticación para acceder a ubicaciones físicas que se encuentran cerradas y seguras mediante por ejemplo: El cuarto de servidores con lector biométrico y password para poder ingresar. El uso de garitas de seguridad para verificar el ingreso y egreso de equipos de desde y hacia la empresa. Este plan también busca la forma de hacer evolucionar a la empresa mediante estas políticas, con este se trata de concientizar tanto a los administradores de la empresa como a los usuarios dado que son factores importantes en el éxito de un plan de seguridad. Por otro lado un plan de continuidad del negocio busca mecanismos y procedimientos para que si en algún momento existe un desastre, se tiene planificado la forma en que se hará que la empresa continúe trabajando, como por ejemplo: Si existiera un terremoto, quien inicia el plan de continuidad del negocio mediante una llamada de acuerdo a los procedimientos establecidos, en la que los integrantes de dicho plan, seguirán instrucciones precisas para restaurar Backups, sitios alternos en donde trabajar e incluso personal secundario con el cual se podrá contar. Este es otro plan que no debe de faltar en una empresa con servicios críticos.
Un PSI incluye procesos/servicios involucrados en la administración que considera los impulsadores de seguridad de información de una organización para determinar el alcance y enfoque de los procesos involucrados en administración de la seguridad, ya que la finalidad del PSI es proteger la información y los activos de la organización, esto para tratar de conseguir confidencialidad, integridad y disponibilidad de los datos, siempre y cuando se responsabilice a cada empleado mientras permanezcan en la organización. Uno de los alcances del desarrollo de un PSI es la evaluación de riesgos de seguridad a los que esta expuesta la información, seleccionando los controles y objetivos de control para reducir, eliminar o evitar los riesgos identificados, indicando las razones de exclusión o inclusión, Permitiendo conseguir el compromiso de la institución, agudeza técnica para establecer las fallas y deficiencias, para renovar y actualizar las políticas en función de un ambiente dinámico. Una de las recomendaciones mejor acertadas es la implementación de Planes de Contingencias, que es un instrumento sistematizado, que facilita y orienta la consecución de una solución alternativa que permita restablecer rápidamente los servicios de la organización.
Un Plan de Seguridad Informático (PSI) es la descripción de los controles de seguridad que deben ser implementados, de forma que permita la interpretación clara y precisa de las políticas, medidas y procedimientos que se definan en la misma, con el objetivo de alcanzar niveles aceptables de seguridad, todo esto con el fin de proteger la información y los activos de la organización.
Un Plan de Continuidad de Negocio (PCN) tiene como objetivo el mantenimiento de servicios ante una situación anómala y procesos críticos, así como la reducción de impactos ante imprevistos de indisponibilidad o desastres para en un plazo razonable y con un coste limitado.
Este servicio está orientado a la obtención de un plan global que garantice la cobertura técnica y organizativa adecuada de las áreas críticas de negocio.
La seguridad física es y ha sido un aspecto muy importante para las empresas asegurar que sus activos estén protegidos. Siempre que se habla de seguridad lógica o física está en peligro la disponibilidad, confidencialidad e integridad de la información sino se cuenta con los medios necesarios para revenir el acceso físico no autorizado, además de evitar daños o robo a los activos de la organización.
La seguridad física identifica las amenazas, vulnerabilidades y las medidas que pueden ser utilizadas para proteger físicamente los recursos y la información de la organización.
Toda empresa debe contar con un plan de seguridad y un plan de continuidad del negocio, ya que de los mismos depende el éxito la misma. Un buen plan de seguridad asesorado e implementado por expertos, es garantía de que nuestra información está bien protegida, contar con los elementos que provean la seguridad, tanto físicos o perimetrales: muro perimetral, garitas, salida de emergencia, electricidad, contención etc, como lógicos: políticas, normas, procedimientos, firewall, ips, antivirus etc. Además se debe tener un buen plan de continuidad, el cual incluya elementos que nos permitan seguir operando, y mejor si se tiene alta disponibilidad en el plan, y políticas de pruebas de los mismos, como en el caso de los backups, que se tenga una política de copias de respaldo, que incluya las pruebas de las mismas mensualmente por lo menos para que se tenga certeza de que se guarda información fiable y recuperable.
Los tipos de política de la DSI y el PCN Plan de continuidad del negocio deben considerarse con una alta importancia en el resguardo de la información de la compañía, la mejor manera para realizar un plan es utilizar una metodología previamente establecida y también revisar las actualizaciones CERT y considerar las diferentes actividades y áreas a las que dará cobertura el plan de seguridad informática.
Actualmente existen muchas herramientas de seguridad eficaces que permiten obtener un adecuado nivel de seguridad ante intrusos no autorizadas haciendo que la labor de los atacantes se transforme en un camino difícil de recorrer. Así mismo la educación al usuario es importante porque el recurso humano es representa la amenaza más importante contra la seguridad informática. Algunos mecanismos que impidan la instalación de programas por parte del personal, inhabilitación de puertos USB y prohibición del uso de dispositivos de almacenamiento extraíbles para evitar la fuga de información e ingreso de virus son medidas de seguridad física que garantizará la Integridad, Confidencialidad y Disponibilidad, la primera que garantiza que los datos sean los que se supone que son, la segunda asegura que sólo los individuos autorizados tengan acceso a los recursos que se intercambian, la tercera garantiza el correcto funcionamiento de los sistemas de información.
En conclusión la seguridad informática supone políticas, planes y acciones que en conjunto con la tecnología disponible prevé potenciales riesgos, y la forma en que se reaccionará a las amenazas que atentan a la continuidad del servicio de toda compañía.
Los planes de seguridad informática son de gran importancia para el funcionamiento de una empresa, ya que gracias a ellos se trata de prevenir posible escenarios de fallos en los sistemas, accidentes provocados, ya sea de forma involuntaria o por sabotaje. Así mismo deben considerar posibles fenómenos naturales como inundaciones, incendios, etc. Con esto se pretende lograr que la empresa tenga el menor costo en tiempo y dinero para poder levantar sus sistemas y continuar con el negocio protegiendo el bien más valioso de la empresa, el cual es la información, logrando que se respeten la confidencialidad, integridad y disponibilidad de la misma. A eso se le denomina “Plan de Continuidad del Negocio” (PCN).
ResponderEliminarPara que un PCN sea exitoso, se deben definir las responsabilidades del empleado para con los bienes que se encuentran dentro y fuera de la empresa y con los cuales tiene interacción. Por ejemplo una persona encargada de la seguridad informática dentro de una empresa debe como parte de sus roles y responsabilidades definidas por la misma llevar a cabo backups de los sistemas y datos, para posteriormente almacenarlos en algún lugar seguro para que si por alguna eventualidad se sufriera algún percance en la empresa, bastara con recuperar los backups. Esto último caería en la categoría de un plan de contingencia, pero puede haber muchos y variados desde el más sencillo hasta los más complejos, como por ejemplo trasladar las sucursales a otro lugar físico.
Para que la información este bien resguardado, es necesario aplicar dos conceptos la seguridad lógica, la cual consiste en implementar herramientas de protección de la información, protocolos de autenticación entre los diferentes nodos de la red y los servidores, así como la aplicación de normas de seguridad. Pero también se debe aplicar lo que se conoce como seguridad física, esta consiste en implementar procedimientos de protección física tanto a la información como a los ambientes de laborales, esto se puede lograr mediante control de accesos restringidos mediante gafetes de seguridad, medidas contra incendios, inundaciones, etc. Este tipo de seguridad también se puede extender a los ordenadores, por ejemplo desconectar los puertos USB, bloqueo de correos salientes que no sean por el servidor de correo oficial de la empresa, etc. Básicamente todo esto se puede lograr mediante la implantación y puesta en marcha de políticas de seguridad, tanto informática como industrial dentro de la empresa.
Mynor Francisco Méndez López 092-12-3617
Felicidades!!!. Concluida bien esta parte de la asignatura. Ojalá te haya servido en tu formación profesional.
EliminarSe trata de un plan que reúne todos los procesos necesarios para administrar la seguridad de la información digital o física, y su finalidad se puede resumir en tres puntos fuertes que son Confidencialidad: que la información solo esté disponible para los usuarios autorizados, Integridad: que garantice la exactitud de la información así como que este completa y Disponibilidad: que los usuarios tengan acceso en el momento que sea necesaria la información, por medio de la definición de políticas de seguridad que hacen posible la concienciación de los miembros de la empresa acerca de la importancia y sensibilidad de la información y servicios críticos, para analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. El plan de continuidad del negocio trata de cómo la empresa puede levantar los servicios necesarios para seguir operando en caso de algún siniestro, teniendo una solución alternativa y un plan de contingencia que facilite y oriente la consecución de una solución para restituir rápidamente los servicios, la importancia que tiene es garantizar la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas, y recuperar con normalidad las actividades de la empresa. La seguridad física es la forma de proteger el acceso a las personas, incendios y otros y entre las medidas están anclaje de mesas de trabajo, cerraduras, tarjetas de alarma, etiquetas con adhesivos especiales, bloqueo de disquetera entre otros.
ResponderEliminarFelicidades Posada. Vencida esta parte. Ojalá te haya ayudado en tu formación profesional.
EliminarLa información se ha convertido en un activo muy importante para las organizaciones y por ende debe ser debidamente protegida, es por eso importante tener un plan de seguridad de la información.
ResponderEliminarFinalidad de los planes seguridad de la información: Es fijar los niveles de seguridad para proteger la información de la organización. Esto debe cumplir con tres puntos importantes confiabilidad, integridad y disponibilidad de los datos. También se debe fijar las responsabilidades de cada uno de los empleados.
Plan de continuidad del negocio:
Los planes de continuidad de negocio, son aquellos en donde se indica las acciones que se deben tomar para recuperar y restaurar las funciones criticas de un sistema de información por un tiempo determinado.
Seguridad física
Consiste en la aplicación de barreras físicas y procedimientos de control como la prevención y contramedidas ante amenazas a los recursos informáticos.
Las principales amenazas que prevén en la seguridad física son:
Desastres naturales: incendios accidentales tormentas e inundaciones.
Amenazas Ocasionadas por el hombre
Disturbios, sabotajes internos y externos.
Juan Manuel Noriega
Carné: 092-93-723
Un Plan de Seguridad de la información incluye todos los procesos/servicios involucrados en la administración de la seguridad de la Información. La finalidad del PSI es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Su alcance es la evaluación de riesgos de seguridad a los que está expuesta la información y la definición de políticas de seguridad.
ResponderEliminarPCN significa “Plan de Continuidad del Negocio”, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones / operaciones críticas, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Su finalidad es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa.
El alcance del desarrollo del PCN es: Análisis de impacto, plan de contingencia, plan de recuperación de desastres. Su importancia en las empresas permite recuperar la normalidad de las actividades de la empresa rápidamente, garantizar la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas.
Los datos deben protegerse aplicando seguridad lógica y física.
Seguridad física: Procedimientos de protección física del sistema: acceso personas, incendio, agua, terremotos, etc. Tener en cuenta el entorno de la PC como son cerraduras, protectores de teclado, anclajes a mesas de trabajo, toma de tierra.
Felipe Orellana 092-96-1176
Muy bien Felipe ya tienes este tema vencido
EliminarLos planes de seguridad informática, deben de estar incluidos dentro de los planes estratégicos de la organización, para que de algún modo puedan llegar alinearse al negocio, lo anterior porque al estar incluido dentro de las proyecciones que se realizan año con año, pueda haber presupuesto asignado a la implementación de soluciones no solamente tecnologías que apoyen las actividades del resguardo de los recursos tecnológicos de la organización sino planes de capacitaciones y concientización de todo el personal en relación a temas de seguridad de la información. Hoy en día uno de los activos importantes de una organización es la información que de una u otra manera al ser bien utilizada las hace competitivas dentro del ámbito en el que se desenvuelve y en cierto punto llega a obtener una ventaja competitiva. Sin embargo esto no es posible si además de implementar herramientas que hagan más eficiente el resguardo de los recursos tecnológicos, no se incluye dentro del plan políticas que normen la manipulación de información por parte de los usuarios internos, personal externo como proveedores y servicios prestados por terceros, inclusive personal que no tenga relación directa con un equipo informático, como por ejemplo todo documento debería de ser destruido previo a su desecho en la basura. Los documentos de las políticas y procedimientos deben ser bien definidos con lenguaje claro para el fácil entendimiento de personal que no maneje tecnicismos propios del ámbito informático. Cada día más toma auge el que las empresas se apeguen a algún estándar internacional que les permita tener el control de los recursos tecnológicos en base a mejores prácticas como los son entre ellas ISO 27001-27002, COBIT, ITIL, etc. Inclusive para las entidades financieras existen medidas mínimas a implementar exigidas por los entes reguladoras de gobierno. Un buen plan de seguridad informática debe ser integral e incluir el establecimiento del Plan de continuidad del negocio, el Plan de recuperación de desastres, y el Análisis de Impacto al negocio. El plan de seguridad informática debe de estar ligado a un proceso de mejora continua, ya que cada día surgen nuevas tecnologías y nuevas necesidades de asegurar estas nuevas tecnologías. Como material de apoyo a algunos temas del curso de Seguridad de redes me parecio importante incluir la siguiente url http://darfe.es/CMS/index.php?module=Descargas&func=display&lid=85 el cual pueden obtener el libro académico llamado Seguridad por niveles de Alejandro Corletti Estrada. Vanesa Hernández | 092-99-1909
ResponderEliminarYa terminastes. Felicidades trata de hacer un buen plan para exhonerarte de la prueba final
EliminarUn Plan de Seguridad de la Información en cualquier empresa es algo vital e importante porque con el podremos tener disponibilidad, integridad y confidencialidad de la información así como también de los activos de la organización, está realmente es la finalidad del PSI. Toda empresa debe de tener en cuenta y bien definidos los alcances del PSI, siendo estos la evaluación de riesgos de seguridad a los que está expuesta la información, selección de controles y objetivos para reducir, eliminar o evitar los riesgos identificados, pero también tener muy bien definidas las políticas de seguridad. El Plan de Continuidad del Negocio es el proceso que en determinado momento hace que se reduzcan los riesgos de que la empresa detenga sus funciones y operaciones críticas de una forma inesperada. Su finalidad principal es tener planificada una estrategia de contingencia en una serie de pasos y que estos faciliten y a la vez orientes para tener una solución rápida y asi permita que la empresa pueda ante la eventualidad continuar de una forma parcial o total con sus labores. La seguridad física consiste en la toma de medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad, planes de contingencia y aplicación de normativas. Debemos de tener en cuenta las Políticas de Seguridad Administrativas, Políticas de control de acceso (privilegios a usuarios) y por último y no menos importante Políticas de Flujo de Información. Se debe de tener muy en cuenta un Plan de Emergencia, Plan de Recuperación. En síntesis un buen plan de contingencia haría que la empresa no se detenga.
ResponderEliminarJorge Ricardo Ángel López | 092-03-1895
Una corporación hoy en día no se puede darse el lujo de no contar con un plan de seguridad el cual tome en cuenta desde aspectos físicos hasta aspectos lógicos, porque resulta completamente inconsistente el contar con grandes equipo que pueda realizar maravillas pero en muchos casos están instalados en lugares y condiciones inadecuadas, algunos aspectos muy básico con los que cuenta un plan de seguridad serian tales como, un resumen ejecutivo, el estado actual de la organización y por supuesto las recomendaciones al caso, pero no bastara quedarse en letra muerta luego del plan viene la acción y por supuesto acompañada a ella la supervisión que se esté realizando el trabajo de seguridad. Luego de culminado el plan se debe realizar una campaña informativa a cerca del porque de la medidas y también explicar las posibles implicaciones que conlleve el no acatar la medidas, además también sería importante volver la seguridad parte de la cultura de la empresa y que las normativas se cumplan es lo que se necesita para contar con un empresa segura, se debe tener muy en cuenta que el plan constantemente en periodos prudenciales podrá tener modificaciones y ampliaciones que permiten erradicar nuevas vulnerabilidades.
ResponderEliminar092-02-441 Carlos Prado
Los planes de seguridad información y planes de continuidad del negocio van de la mano sino existe el primero no hay negocio así de simple. Un plan de Seguridad de la información incluye todos los procesos/servicios involucrados en la administración de la seguridad de la información.
ResponderEliminarLa finalidad del PSI es proteger la información y los activos de la organización tratando de conseguir, confidenciabilidad, integridad y disponibilidad de los datos; asumiendo con responsabilidad cada uno de los empleados mientras pertenezcan a la organización.
El desarrollo, la adopción, la implementación y la administración de un plan de seguridad de información sólo son efectivos si se aprovechan ampliamente y si se comunican públicamente a la mayor parte del área de administración de la organización.
PCN significa Plan de continuidad del negocio, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones/operaciones críticas, independientemente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización.
La finalidad es del PCN es contar con una estrategia planificada, procedimientos que faciliten u orienten tener una solución alternativa que permite restituir rápidamente los servicios de la organización ante una eventualidad.
Seguridad Física, la dividimos en dos partes, la lógica y la física en sí; cada una se le da la protección adecuada tomando en cuenta las medidas de prevención de riesgos tanto físicos como lógicos, a través de una política de seguridad, planes de contingencia, aplicación de las normativas, etc.
Waldemar Pérez
092 99 1839
Un plan de seguridad informática, es un procedimiento donde se definen los lineamientos de la planeación, el diseño e implantación de un modelo de seguridad con el objetivo de establecer una cultura de la seguridad en la organización.
ResponderEliminarAsimismo, la obliga a redactar sus propios procedimientos de seguridad, los cuales deben estar enmarcados por las políticas que conforman este plan. El propósito de establecer este plan es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados de la organización.
Este Plan presenta las Políticas de Seguridad Informática cuyo contenido se agrupa en aspectos como:
• Seguridad Lógica
• Seguridad en las Comunicaciones
• Seguridad de las Aplicaciones
• Seguridad Física
• Administración del Centro de Cómputos
• Auditorías y Revisiones
• Plan de Contingencia.
En un Plan de Seguridad Informática se desarrollan normas y procedimientos que pautan las actividades relacionadas con la seguridad informática y la tecnología de información. Este deberá ser aprobado por los directivos de La Empresa S.A. para su implantación. Estas políticas de seguridad informática y las medidas de seguridad en ellas especificadas deben ser revisadas periódicamente, analizando la necesidad de cambios o adaptaciones para cubrir los riesgos existentes y auditando su cumplimiento.
El propósito de establecer, crear y desarrollar un plan de seguridad informática es proteger la información y los activos de la empresa tratando de conseguir la confidencialidad, integridad, irrefutabilidad y disponibilidad de los datos, cuando nos mencionamos la palabra irrefutabilidad lo que queremos conseguir es que los empleados de la organización asuman cada uno sus responsabilidades. Las políticas se establecen como instrumento para concientizar a los miembros sobre la importancia de los datos.
ResponderEliminarComo toda organización es blanco de ataques es recomendable que los responsables de sistemas elaboren un plan de continuidad del negocio ya que este les garantizará seguir sus operaciones mientras se controla la falla, entre los tipos de seguridad se deben considerar dos: Seguridad lógica y seguridad física, la seguridad lógica se encargará de la protección de los datos mientras que la seguridad física se encargará de toda la infraestructura, es necesaria este tipo de seguridad por si ocurriese un siniestro como terremotos, incendios etc. es necesario contar con planes de continuidad de negocios, plan de seguridad de informática y plan de recuperación de desastres el cual es muy importante ya que indica la forma y la estrategia en que se irá recuperando la empresa de acuerdo a lo establecido en dicho plan.
Marlon Giron Vielman
092-04-3169
Recordando que un PSI es un plan de seguridad de información y que incluye todos los procesos/ servicios involucrados en la administración de la seguridad misma, podemos decir que lo primordial del PSI es proteger la información y los activos de la organización, tratando de conseguir el recordado CID de los datos y la responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización.
ResponderEliminarRecordemos también el PCN, Plan de Continuidad del Negocio, que viene siendo un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones u operación criticas, independientemente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Mientras que el PSI es proteger el PCN en contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización ya sea de forma parcial o total. Es decir que tenemos que hacer un plan de contingencia para casos de emergencia. Y lo más importante del PCN es que debe garantizar la continuidad del nivel minimo de servicios necesarios para las operaciones.
Pero después de resguardar toda unidad lógica y tener planificación de contingencia también esta la Seguridad Física que es algo que muchos analistas dejan de ultimo o pasan desapercibido ciertos modus operandus que delegan la responsabilidad a las políticas de la empresa, cuando como profesionales debemos sugerir la seguridad de ambos.
Para no alargar mucho el comentario solo enlistare una serie de sugerencias para la seguridad física en entornos de PC’s, Anclajes a mesas de trabajo, cerraduras, tarjetas con alarma, etiquetas con adhesivos especiales, bloqueo de disqueteras, protectores de teclado, tarjeta de control de acceso al hardware, suministro ininterrumpido de corriente, toma de tierra, eliminación de la estática entre otros.
Obed Monteros 2392 05 6806
Plan de seguridad de la información incluye todos los procesos y servicios involucrados en la administración de la seguridad de la información. PSI la finalidad es proteger la información y los activos de las organizaciones, para conseguir la confidencialidad, integridad y disponibilidad de la información, ya que es el activo más importante de una organización. Un alcance es definir políticas de seguridad.
ResponderEliminarPlan de Continuidad de Negocios PCN cuando una empresa sufre daños físicos por vandalismo, incendios o desastres naturales, es común que, aunque la información se tenga respaldada, esto no asegura la continuidad inmediata de las operaciones, debido al daño sufrido en el personal, las instalaciones y los equipos de cómputo. El PCN es un proceso diseñado para reducir el riesgo, la finalidad es contar con una estrategia planificada, que faciliten u orienten una solución alternativa. El alcance PCN es analizar el impacto, plan de contingencia y plan de recuperación de desastres, estos se obtiene mediante al análisis de riesgos.
Los datos debe protegerse con seguridad lógica y física. Debe de ayudarse con las políticas administrativas, políticas de control de acceso y políticas de flujo de información. El plan debe responder a dos preguntas claves ¿cuáles son los recursos de información relacionados con los procesos críticos del negocio de la organización? Y ¿cuál es el período de tiempo máximo que el negocio puede soportar sin que esos recursos funcionen antes de que se experimenten pérdidas significativas o inaceptables para la supervivencia del negocio? Por regla general, este tipo de planes se desarrollan de forma distinta para cada organización, según la dependencia y actividad de cada una.
Planes de Seguridad Informática
ResponderEliminarPSI se elabora con el fin de determinar el alcance y enfoque de los procesos involucrados en la administración de la seguridad en una organización.
Este es elaborado también para proteger la información y activos de la misma, asi buscando conseguir que se ponga en practica la confidencialidad, integridad y disponibilidad de todos los datos, delegando responsabilidades a los empleados.
Al aplicar en una organización un PSI podemos evaluar y controlar los riesgos a los que esta expuesta la información y si logramos identificar alguno, eliminarlo.
PCN (plan de continuidad del negocio) este proceso es diseñado para reducir el riesgo de que ocurra una interrupción que no esperábamos y paralice asi las funciones de la organización.
Se planifica un estrategia para estar preparados y restablecer nuevamente los servicios. El PCN alcanza 3 etapas: Analisis de impacto, Plan de contingencia y Plan de recuperación de desastres.
Cuando analizamos el impacto podemos decir que analizamos los eventos que podrían afectar y hacer que la organización deje de funcionar. La elaboración del plan de contingencia se hace como medida de prevención y busca una solución alternativa. Y por ultimo el plan de recuperación se elabora para evaluar la capacidad que tiene la empresa para recuperarse tras un desastre.
Seguridad
Física y Logica de los datos
L a seguridad lógica la tendremos que hacer mediante protocolos de autenticación entre cliente y servidor y la seguridad física crear protección contra alguna eventualidad como incendios, agua, terremotos, etc.
Hablando de la ecuación básica de análisis de riesgo, se determina el riesgo, de cuanta es la magnitud de la perdida y cuanto repercutirá y en que en la organización.
Norma Gabriela Salguero Ucelo 1092-05-8947
PLANES DE SEGURIDAD
ResponderEliminarEl propósito de establecer un plan de Seguridad Informática es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Estas políticas emergen como el instrumento para concienciar a sus miembros acerca de la importancia y sensibilidad de la información y servicios críticos, de tal forma que permitan a la empresa cumplir con su misión. El proponer esta política de seguridad requiere un alto compromiso de la institución, agudeza técnica para establecer fallas y deficiencias, y constancia para renovar y actualizar dicha política en función de un ambiente dinámico
PCN: Este plan es para crear y validar planes logísticos para la practica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. Estos planes son llamados Planes de Continuidad del Negocio. El plan logístico que se denomina un Plan de Continuidad de Negocios.
La seguridad Logica: hace referencia a la aplicación de mecanismos y barreras para mantener el resguardo y la integridad de la información dentro de un sistema informático. La seguridad lógica de un sistema informático incluye:
Restringir al acceso a programas y archivos mediante claves y/o encriptación.
Asignar las limitaciones correspondientes a cada usuario del sistema informático. Esto significa, no darle más privilegios extras a un usuario, sino sólo los que necesita para realizar su trabajo.
Asegurarse que los archivos y programas que se emplean son los correctos y se usan correctamente. Por ejemplo, el mal uso de una aplicación puede ocasionar agujeros en la seguridad de un sistema informático.
Control de los flujos de entrada/salida de la información. Esto incluye que una determinada información llegue solamente al destino que se espera que llegue, y que la información llegue tal cual se envió.
Seguridad Física: Es muy importante ser consciente que por más que la institución sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc.; la seguridad de la misma será nula si no se ha previsto como combatir un incendio. La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático. Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de la sala, que intentar acceder vía lógica a la misma.
EDWIN LEONEL GREGORIO RAMIREZ 1092-04-8229
Actualmente la mayoría de las empresas, incorporaron sistemas informáticos como herramientas para el proceso de la información especialmente en la gestión Administrativa, donde el flujo de información se produce de manera constante. Los datos primarios son transformados para producir información útil a la empresa y que permita la toma de decisiones oportunas, con el fin de cumplir sus objetivos y enfrentar con competitividad los grandes desafíos de otras empresas que se encuentran con las mismas posibilidades en los mercados. Una de las grandes preocupaciones de la Dirección de estas empresas, es buscar elementos confiables que garanticen la manipulación de datos e información de manera correcta.para ello hay seguridades logicas y fisicas normas ISO 17799 y ISO 27001
ResponderEliminardonde exiten las tecnicas de Confidencialidad,Integridad,Disponibilidad:,en donde debemos proteger Hardware, Software, Datos y Elementos Consumibles
El propósito principal de un PSI es dar confidencialidad, integridad y disponibilidad de los datos, hoy en día es esencial que una empresa tenga un PSI, el papel del profesional en seguridad informática es ofrecer soluciones de seguridad informática avanzada, aumentar la cultura de seguridad en la empresa mediante políticas que se desprendan de los sistemas implantados, autoevaluación de los sistemas para saber qué nivel de vulnerabilidad existe en la empresa.
ResponderEliminarLas empresas deben de saber sobre los peligros que corre si no adopta medidas en cuanto a seguridad informática. Una buena forma de establecer un PSI es que la empresa cuente con una serie de pasos basada en normas como la ISO/IEC 27002.
Un PCN protege la información crítica de la empresa como PSI, y permite afinar los procesos para volver a la normalidad en caso de interrupción parcial o total de las operaciones de la empresa. Se debe tener un pleno conocimiento del negocio de la empresa. Realizar un análisis de impacto, análisis de riesgos, crear estrategias de continuidad, documentar los procedimientos, probar las soluciones de recuperación, sensibilizar y formar al personal para la ocasión.
Dentro PCN se pueden incluir de manera sucesiva o exclusiva, El plan de recuperación de desastres, El plan de continuidad de Operaciones.
La seguridad Física está enfocada en reducir las amenazas ocasionadas por el hombre como por la naturaleza del medio físico donde se encuentra ubicado el equipo. Consiste en la aplicación de barreras físicas, y normas de control como medidas de prevención y contra medidas ante amenazas a los recursos y la información confidencial, se refiere a los controles y mecanismos implementados para proteger el hardware y los medios de almacenamiento de datos.
Marwin Vasquez 092-99-548
Un plan de seguridad debe incluir todos los procesos y servicios involucrados en la administración de la seguridad informática el objetivo es proteger los activos de la organización y la información junto con la responsabilidad de cada empleado en la manipulación de los mismos, el PSI consigue la Confidencialidad, Integridad y Disponibilidad de la Información Organizacional, se centra en el análisis de los riesgos, selección de los controles y la definición de las políticas de seguridad.
ResponderEliminarPor otro lado el plan de continuidad del negocio, es un proceso diseñado para evitar la interrupción de las operaciones de la organización ante una interrupción inesperada de naturaleza espontanea, dentro de su diseño se debe contemplar: el análisis de impacto, plan de contingencia y el plan de recuperación de desastres; un buen diseño del pcn asegura la continuidad en los servicios electrónicos reduciendo la perdida de capital y evitando que los procesos productivos se detengan por fallas en la infraestructura de la información.
La seguridad física es otro aspecto muy importante en la administración de la seguridad de cualquier data centro, el aspecto lógico va desde la defunción y uso de protocolos y herramientas de administración hasta la definición de los permisos de los usuarios locales; la parte física debe cubrir desastres naturales y acontecimientos accidentales de fuerza no controlada y que deberían afectar mínimamente a la inversión, se deben considerar acciones físicas de acceso que protejan físicamente y lógicamente los equipos, computadoras, servidores, etc. La implementación de estas medidas pude suponerse innecesaria pero al momento de que suceda algún evento no controlado salvaguardaran los activos. El análisis de riesgos se debe realizar con un nivel de detalle extremo donde se cuantifique las posibles pérdidas y se definan las acciones que mitiguen ese nivel de perdida, también se debe conocer la sensibilidad de pérdida de información, podríamos estar en una situación no controlada y perder toda la información organizacional lo que sería un verdadero desastre y como consecuencia sufrir directamente penalizaciones legales. La implementación de las políticas administrativas, políticas de control de acceso y políticas flujo de información constituyen el alma del plan de seguridad la observación de estas es fundamental por todos los empleados y ejecutivos en las organizaciones.
Edgar Orlando Rodriguez Morales 09293-1845
Los planes de seguridad informática deben diseñarse para ofrecer un mejor y más seguro servicio al cliente y nunca como un obstáculo para el desarrollo de sus actividades de negocio. Siempre que sea posible deben definirse métricas e indicadores clave que permitan evaluar los niveles de seguridad acordados. El objetivo del Plan de Seguridad es resguarda la información generada por lo sistemas informáticos implementados en la compañía, sobre todo es fijar los niveles de seguridad que han de ser incluidos como parte de los acuerdos de nivel de servicio, acuerdos de nivel de operación y los contratos de soporte. Todo plan de seguridad esta resguardado OSI 27001, ITILL y COBIT. Ya que es responsabilidad de OSI coordinar la realización periódica de auditorías a las prácticas de seguridad informática.
ResponderEliminarA continuación mostraremos los posibles riesgos que la empresa esta más propensa a tener:
Riesgos Humanos:
• Agresión física o moral, Robo, Artefactos explosivos, Incendios, etc.
Riesgos Naturales:
• Inundaciones, Sismos, Tormentas eléctricas.
Riesgos Tecnológicos:
• Sabotaje computacional, Incendios, Acceso al centro de cómputo.
PCN: Todo plan se desarrolla con el objetivo de mantener o restablecer las operaciones de los negocios en plazos determinados una vez que ocurra alguna interrupción o falla en los procesos críticos de los negocios. Los Planes de continuidad del negocio son la respuesta prevista por la empresa ante aquellas situaciones de riesgo que le pueden afectar de forma crítica .No importa el tamaño de la empresa o el coste de las medidas de seguridad implantadas, toda organización necesita un Plan de continuidad de negocio ya que tarde o temprano se encontrará con una incidencia de seguridad. Tiene como objetivo el mantenimiento de estos servicios y procesos críticos, así como la reducción de impactos ante imprevistos de indisponibilidad o desastres para en un plazo razonable y con un coste acotado. Este servicio está orientado a la obtención de un plan global que garantice la cobertura técnica y organizativa adecuada de las áreas críticas de negocio.
Lobni martinez 1902-05-8903
Todas aquellas medidas de seguridad que hemos evaluado en anteriores artículos son parte del conjunto de medidas y herramientas de implementación para elaborar el Plan de Seguridad. El objetivo principal del Plan de Seguridad es establecer un marco de trabajo que establezca políticas realistas y alcanzables que puedan ser implementadas dentro de una organización; tratando de conseguir la confidencialidad, integridad y disponibilidad de los datos.
ResponderEliminarLa Organización, por tanto, debe comprometer las actividades y a su personal con el Plan de Seguridad aprobado.
Junto con el Plan de Seguridad; el Plan de Continuidad del Negocio establece las pautas de seguimiento contra una eventual situación que afecte el normal funcionamiento del flujo de trabajo, tanto manual como automático, de la Organización. El Plan de Continuidad del Negocio busca medir la capacidad de la organización para continuar operaciones en caso de algo fallo, ataque o desastre y que las guías de procedimientos establezcan una serie de pasos a seguir, con el objetivo de no improvisar frente a un problema sino actuar sobre un plan objetivamente elaborado.
Juan Manuel Lemus|092-05-181
EliminarComo hemos visto en los articulos anteriores el objetivo principal de estas medidas de seguridad es poder tener un buen Plan de Seguridad en la cual establecemos un marco de trabajo con diferentes políticas que se puedan implementar dentro de una organización para tratar de conseguir que la confidencialidad, la integridad y la disponibilidad de datos sea segura y efectiva, tratando de que no sean blancos faciles para robo o malverzación de la información.
ResponderEliminarAmarrado al plan de seguridad encontramos el Plan de Continuidad del Negocio, el cual fue diseñado para evitar interrupciones de operaciones de las empresas u organizaciones. El diseño que debe contener el PSN o que debe de tomar en cuenta es el análisis de impacto, un plan de contingencia y uno de recuperación de desastres, si se obtiene un buen diseño se asegura la continuidad de los servicios informáticos, reduciendo perdida de capital, evitar que procesos productivos se detengan por fallas en la infraestrutura de la red de información.
Juan Alvarez
092-02-12307
Una organización debe de contener un plan de seguridad informática esto para estar prevenidos a la hora de sufrir un ataque o algún problema que pueda afectar el buen funcionamiento y disponibilidad de la información, la finalidad del PSI es proteger la información y los activos de la organización tratando de corregir confidencialidad, integridad y disponibilidad de los datos, y responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Se deben de evaluar los riesgos a la que está expuesta la información y seleccionar controles para reducir los riesgos identificados además debemos de definir las políticas de seguridad informática. El plan de continuidad del negocio es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones y operaciones críticas, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Debemos de tener seguridad lógica y seguridad física, la física toma en cuenta la seguridad de todos los dispositivos que poseemos y pueden ser afectados por algún desastre inesperado como acceso de personas ajenas o no autorizadas a dicho lugar, incendio, agua, terremotos, etc.; esta seguridad podemos utilizar anclajes a mesas de trabajo, cerraduras, tarjetas con alarmas, etiquetas con adhesivos especiales, protectores de teclado, tarjeta de control de acceso al hardware, etc.; todas estas herramientas las podemos usar para garantizar una buena seguridad física.
ResponderEliminarPablo Rodríguez Escalante 092-01-741
El Plan de Seguridad Informática (PSI) es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que graviten sobre el mismo.
ResponderEliminarEl objetivo Plan de Continuidad de Negocio (PCN) es que los servicios o procesos del negocio vuelvan al estado normal de producción que tenían antes de la interrupción. Estos planes de respuesta y respaldo se gestionan mediante planes de contingencias.
Un plan de contingencia es la parte práctica del PCN. Consiste en los pasos que el personal debe realizar (de acuerdo con las directrices del PCN) para hacer frente a las situaciones inesperadas que pueden afectar a la continuidad de su negocio. Puesto que el tiempo es un factor crucial en las situaciones de emergencia, se hace necesario disponer de planes de respaldo que permitan una rápida reacción ante cualquier incidencia producida por hackers, virus, desastres naturales, caídas de redes.
Carlos Alberto López Ramírez
1092-04-8457
Un plan de seguridad informática consiste en desarrollar normas y procedimientos que pautan las actividades relacionadas con la seguridad informática y la tecnología de información, creando políticas de seguridad, medidas de seguridad, estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura de nuestros sistemas de información.
ResponderEliminarEstos planes son de suma importancia para minimizar todos los posibles ataques a nuestros sistemas de información, no obstante también es necesario mantener un plan de seguridad desde el punto de vista físico, determinando planes de contingencias sobre fenómenos naturales o sobre la infraestructura por ejemplo del lugar a implementar nuestra arquitectura informática, ya que el éxito de una empresa depende de la eficiencia de sus sistemas de información y que mejor que se mantenga un plan de seguridad eficiente y con mejoras continuas, por ejemplo una empresa puede tener un staff de gente de primera, pero si tiene un sistema informático propenso a errores, es lento, vulnerable e inestable mantendrá ataques por terceras personas, es por dicha razón que existen planes de seguridad informática.
Edwin Gonzalez/092-04-13259
El plan de seguridad de la información o PSI se realizan para garantizar que la información, se mantenga disponible, Integra y confidencial, Los PSI se llevan a cabo para planificación de acciones y proyectos que lleven a un Sistema de Información y sus Centros de Proceso de Datos de una situación inicial determinada a una situación mejorada, aceptable o deseada. Para alcanzar el nivel de seguridad definido en la política, es preciso el desarrollo, adopción e implementación de un plan de seguridad. Para ello se deben realizar una serie de actividades en las que personal especializado de la línea en coordinación con el responsable de seguridad de la compañía, se encargará de: Clasificación de los servicios críticos para el negocio e identificación y clasificación de los tipos de información que exigen protección, análisis de riesgos asociados a los activos de información, definición de los objetivos de control, controles y medidas de protección adicionales para lograr el nivel de seguridad.
ResponderEliminarPero qué pasa si no se tiene un plan de continuidad del negocio al momento que fallara el plan de seguridad ante desastres, Por eso es necesario la creación de un plan de continuidad del negocio durante y después de una interrupción a los procesos críticos del negocio.
En el plan de continuidad se debe tener alternativas ante desastres desde la parte informática como las demás secciones de las organizaciones y tanto el plan de seguridad de la información y el plan de continuidad del negocio deben ser probados en la medida que lo permita los recursos. Así poseer una seguridad en los planes que se necesitan para garantizar el buen funcionamiento de la organización.
En cuanto a la seguridad física, es necesario establecer normativas para que los equipos como las pc´s, equipo de comunicación se encuentren en lugares adecuados a no mayor de 20 grados de temperatura y protegidos acorde a su característica por ejemplo una pc debe tener por lo mínimo la siguiente protección: protección a teclado, toma de tierra, eliminación de la estática, una mesa adecuada de trabajo, en cuanto al acceso al data center también se debe poseer cerraduras, identificación con tarjetas de acceso.
Mynor Borja Martínez 2392 -01 - 5178
Un plan de seguridad de la información incluye todos los procesos y servicios para la administración de la seguridad de la información, con la finalidad de proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que deben asumir ciertos roles para hacer esto posible. Con un plan de seguridad de información se pretende alcanzar una evaluación de riesgos de seguridad a los que está expuesta la información y para la definición de políticas de seguridad. Una importancia principal de los PSI en las organizaciones es hacer posible la concienciación del personal de la organización acerca de la importancia y sensibilidad de la información que manejan.
ResponderEliminarPlan de continuidad de negocio, es un proceso diseñado para reducir riesgos de una organización ante una interrupción de sus actividades, operaciones, funciones. Se pretende contar con una estrategia planificada, qué procedimientos se deben seguir al momento de una contingencia y establecer una alternativa de solución. El análisis de impacto se identifican las diversas situaciones que podrían afectar en la continuidad de las operaciones y la organización. Después del análisis de impacto se genera un plan de contingencias que nos oriente y facilite la consecución de una solución alternativa para que la organización restablezca sus operaciones. Y por ultimo un plan de recuperación de desastres, donde se evalúa la capacidad de la organización para restaurar los servicios, funciones, actividades a un nivel acordado de calidad.
Dentro de un plan de seguridad, se deben tomar en cuenta dos tipos de seguridad: lógica y física, la seguridad física consiste en procedimientos de protección física del sistema, por ejemplo, acceso de personas al datecenter, circuito cerrado, control de humedad, sensores de movimiento y un sin fin de mecanismos para reducir riesgos.
Angel Muñoz (092-03-2045)
En el proceso de elaboración de planes de seguridad de información, se deberán de tomar en consideración la recopilación de todo tipo de material necesario para la elaboración de estas, como las concernientes al uso interno y externo de nuestra red. Estas podrían contener una serie de evaluaciones las cuales podrán determinar si será necesario el acceso remoto al sistema, el proceso de identificación de usuarios no autorizados, el tipo de seguridad de información, el nivel de acceso de los usuarios del sistema, la brecha de seguridad de nuestro sistema, entre otros. La implementación de planes de seguridad de información, ayudaran a identificar las amenazas a las que estará expuesto el sistema, y el que hacer en caso de daño, robo de información y la divulgación de esta, y del resultado del proceso de identificación derivara el diseño del sistema de seguridad a implementar y el costo que representara el poder implementarlo.
ResponderEliminarEl poder implementar planes de seguridad de información, deberán pasar por varios procesos, derivado del análisis de las necesidades de protección que en consideración debería de ser el adecuado. Entre los ítems a tomar en consideración a la elaboración de los planes de seguridad se pueden mencionar los de redacción, edición, aprobación, difusión, revisión, aplicación, actualización. Adheridos a la elaboración de los procedimientos que conlleva a la aplicación de los planes, entre las que podrían encontrarse la creación de un usuario, eliminación de usuario, conectividad de red de usuario, actualización de software, entre otros.
Con la elaboración de los planes de seguridad de información, se podrán establecer los planes de continuidad de negocios, el cual nos indica en base a procesos analíticos el que hacer en caso que el sistema pueda sufrir algún tipo de imprevisto como la de recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. De gran ayuda será la elaboración los planes de gestión de riesgo, las cuales indicaran el que hacer en caso de alguna interrupción en nuestro sistema, esto con el fin de que las transacciones sigan su flujo normal
Mario Flores
2392-02-14332
Cuando se habla de nueva tecnología, también se habla de nuevas aplicaciones, nuevos dispositivos de hardware y nuevas formas de elaboración de información, sin embargo se suele pasar por alto, la importancia de la seguridad de la información, y el de contar con un plan de seguridad. Pensemos por un momento que alguien sufre un accidente en el centro de computo o el lugar donde se almacena la información. Ahora preguntémonos: ¿Cuánto tiempo pasaría para que la organización este nuevamente en operación?. Es por eso que es necesario contar con un plan de seguridad, ya que el objetivo de un plan de seguridad es fijar los niveles de seguridad desarrollados con la gestión de niveles de servicios que es la responsable en última instancia tanto de la calidad de servicio prestado a los clientes, como la del servicio recibido por la propia organización TI y proveedores externos. Este tipo de planes deben de diseñarse para ofrecer un mejor y eficiente seguro servicio al cliente y nunca como una ineficiencia para el desarrollo de sus actividades diarias, aparte de la elaboración deben de definirse las métricas e indicadores claves que permitan evaluar los niveles de seguridad acordados, conjuntamente con las métricas se debe de contemplar para las empresas el establecimiento de algunos protocolos de seguridad para toda la fase de servicio y para todos los elementos implicados. Pese a todas las medidas de seguridad, pueden ocurrir desastres. De hecho los expertos en seguridad afirman sutilmente que hay que definir un plan de recuperación de desastres para cuando falle el sistema, no otros tipos de desastres que pudieran ocurrir, por todo esto y otras cosas, es bueno contemplar un plan de contingencia, que contemplen todo este tipo de márgenes de error o desastres que pudieran ocurrir. Es muy importante ser consciente que por más que nuestra empresa sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc. la seguridad de la mismas será nula si no se ha previsto como combatir un incendio, la seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático, es por eso que no debemos de olvidar tratar todos estos puntos, sobre seguridad y desastres físicos que pudieran poner en peligro nuestra información, recordemos que lo más valioso para una empresa es su información.
ResponderEliminarLos planes de seguridad y planes de contingencia están orientados hacia la sostenibilidad del negocio, con estos se busca prevenir la materialización de un riesgo, pudiendo ser accidentales, fenómenos naturales, fenómenos provocados intencionalmente entre otros. El plan de continuidad contempla la puesta en marcha de la empresa en el menor tiempo posible y al costo más bajo, es importante hacer énfasis en la información, ya que el propósito esencial es protegerla, tratando de asegurar la confidencialidad, integridad y disponibilidad de la información.
ResponderEliminarEl plan de seguridad está orientado a minimizar los riesgos que pongan en riesgo la información, conjuntamente forman parte del plan de seguridad de la información. El alcance se define en el resultado de una evaluación de riesgos con los cuales se definen ciertos controles y políticas para minimizar los riesgos.
El plan de continuidad del negocio permite contar con una estrategia que facilite restituir rápidamente los servicios ante un evento de paralización de la organización; garantiza la continuidad del negocio por lo menos con los servicios necesarios para operaciones críticas.
Se debe hacer un análisis de riesgos y la probabilidad de estos conjuntamente como el costo que conlleva un evento para un conjunto de riesgos y en general el costo de protección debe ser menor que el activo que se protege.
El análisis de riesgos se hace:
1. Identificando el costo de posibles perdidas
2. Determinando la probabilidad de perdida
3. Identificando las posibles acciones y sus gastos e implicaciones a implementar.
Entre los cuales, están políticas administrativas, de control de acceso y de flujo de información
Además del conocimiento y utilización de herramientas y mecanismos de seguridad todo esto debe trabajar en conjunto es decir definir los procesos, procedimientos y políticas en cuanto a seguridad de información se refiere, esto es conocido como un plan de seguridad de información el cual tiene como objetivo final proteger el activo más importante hoy en día de las empresas “la información”, dicho activo tiene un valor específico para cada empresa dependiendo del giro de negocio. El cual busca siempre que toda la información sea confiable, integra y esté disponible cuando se requiera.
ResponderEliminarLas empresas tienen hoy en día mucha información, pero es importante segmentar la importancia de cada tipo de información, para ello es de gran utilidad un plan de continuidad del negocio el cual se basa en la importancia de cada proceso de la empresa y busca que las operaciones más críticas de la empresas no dejen de operar o al menos sea por un tiempo muy corto.
Un parte de la seguridad, la seguridad física es muy importante pues si únicamente tenemos controles en aplicaciones ¿Qué pasaría si alguien llega y se roba un disco duro sin que nadie se dé cuenta? Sería una perdida terrible para la empresa es por ello que también la restricción de accesos y bitácora de dichos sucesos son sumamente importantes, todo esto lo abarca la seguridad física.
092-06-1245
Edder Rodriguez
Es imposible garantizar el 100% de seguridad en un sistema, debido a que este control de seguridad es muy elevado, por lo que se convierte en el motivo principal por el cual muchas empresas, en general, asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser hackeadas.
ResponderEliminarLa cuestión es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy limitado les impediría hacer más negocios. "Si un Hacker quiere gastar cien mil dólares en equipos para descifrar una encriptación, lo puede hacer porque es imposible de controlarlo. Y en tratar de evitarlo se podrían gastar millones de dólares".
Podrían entonces optar por una solución a medias, o sea, sería limitar todo el espectro de seguridad, en lo que hace a plataformas, procedimientos y estrategias. De esta manera se puede controlar todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y esto significa ni más ni menos que un gran avance con respecto a unos años atrás.
En este sentido, las Políticas de Seguridad Informática (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.
092-01-1487.
El Objetivo principal de establecer un Plan de Seguridad Informática dentro de una organización es proteger la información y sus activos, garantizando: Integridad, Disponibilidad y Confiabilidad de los datos. Cada uno de los empleados involucrados en el desarrollo de este plan, juegan un papel muy importante debido a que el incumplimiento de una tarea asignada dentro del plan, representa un nivel de riesgos que podría ocasionar pérdidas invaluables. Las políticas de un plan de seguridad informática surgen como instrumento para hacer conciencia de la importancia y sensibilidad de la información, de tal forma que permitan a la organización cumplir con sus objetivos. El proponer políticas de seguridad requiere un alto compromiso de la organización para establecer fallas y deficiencias y constancia para renovar y actualizar las políticas del plan de seguridad en un futuro. Es indispensable que el Plan de Seguridad Informática contemple la definición los lineamientos para promover la planeación, el diseño e implantación de un modelo de seguridad en la misma con el fin de establecer una cultura de la seguridad en la organización. Asimismo, la obliga a redactar sus propios procedimientos de seguridad, los cuales deben estar enmarcados por este plan.
ResponderEliminarEl Plan de Continuidad del Negocio en la mayoría de ocasiones es generado por factores externos a la organización considerando desastres naturales o provocados por el hombre, incendios, terremotos, huracanes, etc, sobre los cuales la empresa no puede actuar per si puede de alguna manera, planificar como reaccionar ante estas situaciones adversas para poder continuar con las operaciones y transacciones del negocio.
Dublas Alegrìa
092-05-8589
Como anteriormente hemos visto un Plan de Seguridad Informática está diseñado para proteger la información crítica y recursos provenientes de una amplia gama de amenazas a fin de garantizar la continuidad del negocio, reducir al mínimo el riesgo y maximizar el retorno sobre las inversiones y oportunidades. La información y sus componentes críticos (confidencialidad, integridad y disponibilidad) constituyen el activo mas importante de cualquier organización la cual es esencial para una organización y por lo tanto debe ser protegida adecuadamente. Los planes de seguridad informática tienen que estar basados mediante la aplicación de un conjunto adecuado de controles, incluidas políticas, procesos, procedimientos, estructuras organizativas y funciones del software y hardware. Estos controles deben de establecer, implementar, dar seguimiento, revisar, mejorar y monitorear, cuando sea necesario, para garantizar que las políticas, normas y procedimientos son actualizados y adaptados a las tecnologías en constante evolución.
ResponderEliminarPara que un sistema se pueda definir como seguro debe cumplir tres características: Integridad, Confidencialidad y Disponibilidad, por lo tanto al momento de implementar un plan de seguridad informática en una organización se debe capacitar a todos los trabajadores en los elementos básicos de Seguridad y Riesgo para el manejo del software, hardware y con respecto a la Seguridad Física.
La finalidad de los Planes de Seguridad de Información PSI radica en la protección de la información y los activos de la organización, enfocándose en obtener Confidencialidad, Integridad y Disponibilidad de los datos, también se enfoca en las responsabilidades que tiene a su cargo el personal para lograr lo antes mencionado.
ResponderEliminarEl plan de continuidad del negocio PCN es un proceso cuyo objetivo es reducir el riesgo de la organización frente a una interrupción inesperada de sus operaciones o funciones importantes o críticas, ya sea que éstas sean manuales o automatizadas y que son vitales para la organización.
La seguridad de los datos se protege aplicando dos tipos: La seguridad física en donde encontramos procedimientos de protección del sistema (acceso de personas, incendios, agua, terremotos) y medidas de prevención de riesgos tanto físicos como lógicos (políticas de seguridad, planes de contingencia, aplicación de normativas). La seguridad lógica toma en cuenta el uso de herramientas de protección de la información y el medio por el cual se transmite, protocolos de autenticación entre cliente y servidor, y la aplicación de normativas.
Irmaría Soledad del Rosario de León López - 092-04-807-
Un plan de seguridad de la información incluye los procesos involucrados en la administración de la seguridad de la información. Protege la información y los activos de la organización, ya que su finalidad primordial es conseguir la confidencialidad, integridad y disponibilidad.
ResponderEliminarEs vital que el PSI incluya la evaluación de riesgos de seguridad a los que está expuesta la información, selección de controles, definición de políticas de seguridad. Las empresas deben incluir un PSI porque desarrolla normas y procedimientos que pautan las actividades relacionadas con la seguridad informática.
También el Plan de Continuidad del Negocio (PCN) es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones. Se crea con el objetivo de contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización.
Asimismo se debe incluir la organización implementación de seguridad lógica y seguridad física. La lógica se hace por medio de herramientas de protección de la información en el mismo medio en el que se genera o transmite. Y la física contiene los procedimientos de protección física como acceso a personas, incendio, agua, terremotos y otros.
Entre las medidas básicas están el plan de emergencia, plan de recuperación y el plan de seguridad. Si se cuenta con todas estas medidas se puede conseguir una empresa bastante segura en cuanto a la información se refiere, ya que se tendrá una medida para cada contingencia.
Sheyla Yadira Esquivel
1092-04-8228
Dentro de una organización siempre debe proteger la información , para ello hay que tener un plan de seguridad en el cual se debe proteger no solo el área donde se encuentra los servicios o el área de sistemas, sino también el acceso a ellos. Un plan de seguridad tiene por finalidad prevenir la pérdida de datos o bien robo de información. En la actualidad la delincuencia cibernética es muy amplia y por ello se deben tener las medidas necesarias para protegerla de alteración o robo. Además dentro de este mismo plan deben considerarse la recuperación de información en caso de desastre así como el resguardo de las copias de seguridad. A esto se le llama un plan de continuidad del negocio, contemplando un desastre o una perdida de información, que está rodeada por muchas vulnerabilidades, lograr evitar el riesgo de que el negocio se detenga por falta de servicios y/o información almacenada de ellos.
ResponderEliminarNelson Rodolfo Boche Santos|092-04-8043
Un plan de seguridad de la información establece los principios organizativos y funcionales de la seguridad informática en una organización. Este plan debe estableces los posibles riesgos y cuáles serian los mecanismos para contrarrestarlos, así como cuales son las responsabilidades que los empleados deben asumir ante un caso delicado para la organización. Durante la elaboración de un plan de este tipo se debe realizar un análisis para poder clasificar los activos de mayor prioridad y poderles proporcionar la protección adecuada.
ResponderEliminarExisten políticas que se pueden describir en un plan de seguridad algunas de ellas son políticas administrativas, políticas de flujo de información así como políticas de control de acceso. Este plan debe incluir todo tipo de vulnerabilidades que pueda tener una organización tanto en el sistema de información, en su arquitectura de red así mismo en su infraestructura, porque recordemos que existe la posibilidad de poderse enfrentar un desastre natural. Tomando en cuenta que la información es un activo importante, se puede protege aplicándole seguridad física y lógica.
Paralelo al plan de seguridad informática se debe elaborar un plan de contingencia con el objetivo de poder dar una solución rápida ante una restauración de los servicios de la organización, es decir que debe permitir recuperar la normalidad de las actividades.
El objetivo principal por el cual se debería contar con un plan de seguridad es reducir los riesgos y dar soporte a las operaciones de la organización.
Cecilia Noemí Elías
1092-05-8468
En las organizaciones de hoy en día, la información es el activo mas importante, muchas empresas, cuentan con equipo sofisticado, sistemas exitosos, incluso con profesionales altamente calificados, pero descuidan o no prestan atención a los posibles desastres que puedan ocurrir, creen que en todas la demás si puede pasar pero en su organización no. Por tal motivo es imperativo el uso de planes de continuidad del negocio (PCN) y planes de seguridad de información (PSI). Un PSI, incluye todo los procesos y/o servicios involucrados en la administración de la seguridad de la información. La finalidad, es proteger la información y los activos de la organización buscando conseguir confidencialidad, integridad y disponibilidad. Mencionaremos 3 alcances. 1. Evaluación de riesgos de seguridad a los que esta expuesta la información. 2. Selección de controles y objetivos de control para recudir, eliminar o evitar riesgos identificados, indicando las razones de su inclusión o expulsión. 3. Definición de políticas de seguridad. El PCN es un proceso diseñado para reducir riesgo de la organización ante una interrupción inesperada de sus funciones y operaciones críticas. Finalidad, es contar con una estrategia planificada, una serie d e procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios ante la organización. Alcance, Análisis de impacto, plan de contingencia, plan de recuperación de desastres. La Seguridad Física, lo datos se deben proteger aplicando, seguridad lógica, y seguridad física. 092-97-1504
ResponderEliminarUn plan de seguridad informática pretende presentar toda la información sobre los riesgos, plantear políticas de seguridad informática, una serie de etapas y buenas prácticas, las cuales ayuden a implementar las restricciones y procedimientos adecuados, encaminados específicamente a prevenir, detectar y contrarrestar aquellas acciones que pongan de una u otra forma en riesgo la confidencialidad, disponibilidad e integridad de la información, resguardando de tal forma el equipamiento contra el acceso no autorizado en las áreas donde se encuentren los activos importantes de una entidad.
ResponderEliminarAsí mismo un plan de seguridad informática, es donde se definen los lineamientos de la planeación, el diseño e implantación de un modelo de seguridad con el objetivo de establecer una cultura de la seguridad en la organización. Obliga a redactar sus propios procedimientos de seguridad, los cuales deben estar enmarcados por las estrategias y políticas que conforman este plan.
El propósito de un plan es proteger la información y los activos de una organización o empresa, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos, de la misma forma las responsabilidades que debe asumir cada uno de los empleados dentro de dicha organización o empresa.
Un plan de continuidad del negocio(PCN) es un concepto que abarca tanto la planeación para recuperación de desastres(DRP) como la planeación para el restablecimiento del negocio.
Un plan de continuidad de negocio se puede considerar como un repositorio que recoge toda la gestión adecuada y necesaria para la ejecución, mantenimiento y pruebas de todas las acciones a tomar para la recuperación de la continuidad del negocio después de una interrupción, dada por cualquier tipo de circunstancia. La finalidad es que el negocio dentro de sus servicios y procesos vuelvan a ser los mismos, encontrándose en un estado normal de producción que tenía antes de dicha interrupción. Esto se logra teniendo un plan de continuidad del negocio, el cual debe de contener todo lo necesario para lograrlo, con respuestas y respaldos que se gestionan mediantes planes de contingencia, que vendrían siendo una sería de pasos y procedimientos para hacer frente a situaciones inesperadas que puedan afectar la continuidad.
Cuando se habla de seguridad siempre de debe de tener en cuenta la seguridad lógica como la física, puede ser que una organización o empresa sea lo más segura en la parte lógica pero si descuida la parte física, la seguridad será nula si no se ha previsto como combatir un incendio o cualquier otro tipo de desastre natural que pueda ocurrir y no tener claras las políticas de recuperación.
El aspecto físico siempre se debe de tomar en cuenta en cualquier aspecto, como ejemplo se pueda dar que una organización sea lo más segura posible de forma lógica, pero si no es segura la forma en que una persona físicamente entra a la organización, sería más fácil para un atacante entrar y robar la información que desea, que intentar acceder por un medio lógico. Entre las amenazas que prevén la seguridad física tenemos:
-Amenazas ocasionas por el hombre
-Disturbios, sabotajes tanto internos como externos
-Desastres naturales, incendios y accidentes.
Por lo que siempre se debe de evaluar los aspectos de seguridad física como lógica dentro de las organizaciones, para así integrar la seguridad de la información como función primordial dentro de los procesos de dichas organizaciones.
Erick Alvarado | 092-05-14152
EliminarHablando siempre de seguridad tenemos que entender que la implementación de tecnología y políticas no harán la totalidad de la tarea de asegurar la información en realidad por cumplimiento con estándares o bien con regulaciones según el giro del negocio o por simple salud mental toda organización debería contar con un plan de seguridad informática o PSI por sus siglas en español, el cual engloba y detalla tanto el enfoque como el alcance de los procesos involucrados en la administración de la seguridad, como objetivo el PSI tiene la meta de conseguir que la información de la institución o empresa que lo genera esté disponible para los usos correctos, mantenga la integridad sin importar el inconveniente y se mantenga con la confidencialidad necesaria.
ResponderEliminarTenemos que decir que no solo se trata de mantener la seguridad en los datos y se comenta que también debe estar disponible y en ese mix entre disponibilidad y seguridad aparece un concepto conocido como continuidad de negocios que persigue lograr que a pesar de eventos que minen la disposición original de los datos y sistemas que los procesen, los mismos tengan una opción de funcionamiento alterno en caso de algún inconveniente es allí donde entre en escena el plan de continuidad de negocios que básicamente detalla las acciones a tomar para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones/operaciones críticas, el alcance de este plan incluye el análisis de impacto el plan de contingencia y el plan de recuperación de desastres, que son la evaluación de lo que sucedería si algo le sucediera a un proceso normal, el plan para hacer que si sucediera hubiera una respuesta que no generara impacto negativo y la forma de seguir con ese proceso a pesar de que existió un evento no fortuito.
Como hemos visto a través de los temas anterior mente tratados ; de nada nos sirve el poder contar con todas la herramientas que nos proporciona la tecnología a través del internet para poder adquirir, procesar o almacenar uno de los recursos más importante como lo es la información, si no podemos garantizar la confidencialidad, integridad y disponibilidad de la misma; es por ellos que nos vemos en la necesidad de implementar diversos mecanismos defensa y sistemas de protección; pero todo estos tiene que ser parte de un todo, un complemento de gestión administrativa; y para poder relacionar todo esto es necesario la implementación de un adecuado Plan de Seguridad informática, que es en donde nos encargaremos de proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Dentro de este plan es de suma importancia tomar en cuenta las diversas políticas de seguridad, entre ellas tenemos la políticas administrativas, las políticas de control de acceso y las del flujo de información; y un adecuado cumplimiento de estas nos ayudara a darle una mayor integridad a la información circulante en toda nuestra red de la organización. Pero para todo estos creo que es de suma importancia recalcar en la educación informática del tema a todo el personal de la organización.
ResponderEliminarLester Astid Sosa Escobar
1092 04 8262
El tener un plan de seguridad informática es parte vital de las organizaciones con el objetivo que prevalezca la información para todos los que la necesitan, es por esto que en el plan de seguridad se incluyen todos los procesos y servicios que están involucrados y para que sean efectivos considera a los impulsadores de una organización para determinar el alcance y enfoque de todos los procesos que estarán involucrados y poder proteger la información y activos de la organización tratando de conseguir lo más importante confidencialidad integridad y disponibilidad de los datos, además de fomentar la responsabilidad que debe tener cada empleado mientras permanezca dentro de la organización. Cuando desarrollamos un plan de seguridad informática es importante tomar en cuenta todos los riesgos a los que está expuesta la información, se deben de seleccionar controles e implementar políticas de seguridad aun implementado este tipo de planes nunca será 100% seguro pero con esto se busca minimizar los riesgos de perdida de información e intentando cumplir con la integridad confidencialidad y disponibilidad de la información. Se deben contemplar dos áreas que son física y lógica, en la parte física consiste en la aplicación de barreras físicas y procedimientos de control ante las diferentes amenazas a los recursos de información confidenciales, como lo son desastres naturales sabotajes internos o externos y por el lado de seguridad lógica proteger la información dentro de su propio medio utilizando herramientas de seguridad como backups. Adicionalmente se deben implementar los PCN que es plan de continuidad del negocio, estos son procesos diseñados para reducir el riesgo dela institución ante una interrupción inesperada de sus funciones críticas, este plan nos especifica una serie de procedimientos que facilita a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante una paralización. Los alcances que tienen los PCN son el análisis de impacto plan de contingencia y plan de recuperación de desastres, dando como resultado garantizar la continuidad del nivel mínimo de los servicios necesarios para las operaciones criticas permitiendo que la organización pueda continuar funcionando en caso de alguna eventualidad. Podemos concluir que toda organización debe tener un plan de seguridad informática y un plan de continuidad uno para prevenir la paralización de los sistemas y el otro para poder responder ante una paralización y así poder garantizar la integridad confidencialidad y disponibilidad de la información.
ResponderEliminarCristian Lucero|092-01-4138
La principal finalidad del plan de seguridad es proteger la información y los activos de la organización tratando de conseguir confidencialidad, integridad y disponibilidad de los datos. Permite analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. Y las responsabilidades que deben asumir cada uno de los empleados mientras permanezcan en la organización. Diseñar un buen plan de seguridad nos garantiza tener una evaluación de riesgos, ayuda a reducir eliminar o evitar los riesgos identificados indicando las razones de su inclusión. En los planes de seguridad también se definen políticas de seguridad, controles y objetivos.
ResponderEliminarComo complemento al plan de seguridad está el PCN (Plan de continuidad del negocio) su propósito es diseñar un plan diseñado para reducir el riesgo de la institución ante posibles interrupciones inesperadas, ya que cuenta con una estrategia planificada y una serie de procedimientos que faciliten u orienten a tener una solución que permita levantar rápidamente los servicios, es muy importante tener en cuenta este tipo de planes de continuidad para tener un análisis de impacto, un plan de contingencia y plan de recuperación ante desastres. Los datos deben protegerse tanto con seguridad física como lógica. En la seguridad física se vela por procedimientos físicos del sistema, medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad planes de contingencia aplicación de normativas.
Los planes de seguridad informática tienen la finalidad de asegurar la confidencialidad, integridad, disponibilidad y autenticidad de la información. Se centra en el análisis de los riesgos, selección de los controles y la definición de las políticas de seguridad.
ResponderEliminarDebemos de tener seguridad lógica y seguridad física, la física toma en cuenta la seguridad de todos los dispositivos que poseemos y pueden ser afectados por algún desastre ya sea natural o inesperado como acceso de personas ajenas o no autorizadas; esta seguridad trata de resguardar la información, independientemente del medio en que esté almacenada, por ejemplo el edificio, los dispositivos de hardware, etc.;
La seguridad Lógica: se refiere a la aplicación de mecanismos y barreras para mantener el resguardo y la integridad de la información dentro de un sistema informático. Esta seguridad incluye los flujos de entrada/salida de información, restringir el ingreso de los usuarios al sistema informático, etc.
PCN significa “Plan de Continuidad del Negocio”, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones / operaciones críticas, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización.
La finalidad del PCN es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización, ya sea de forma parcial o total.
Dentro de un PCN se incluyen: Los planes de recuperación de desastres, contingencias y análisis de impacto.
Karina Daniela Julián Contreras
1092-04-14080
El plan de seguridad de la información es esencial e importante para cualquier organización que valore su información, este plan incluye todos los procesos y servicios involucrados en la administración de la seguridad de la información todo esto con el fin principal de que se cumpla con la integridad, disponibilidad y confidencialidad de la información entre los alcances del plan de seguridad se tienen la evaluación de riesgos, selección de controles y el establecer políticas de seguridad todas estas tanto a nivel físico como lógico.
ResponderEliminarOtro elemento importante el cual no debería de faltar en ninguna empresa es un plan de continuidad del negocio que básicamente es contar con una estrategia planificada y una serie de procedimientos que faciliten u orienten a la empresa a restablecer sus operaciones en caso de perdida o desastres. Los alcances de un plan de continuidad del negocio son: análisis de impacto el establece los diversos eventos que pueden afectar las operaciones de la organización así como el impacto que estos pueden tener en esta, plan de contingencia el cual consiste en crear un plan de contingencia el cual permita volver a las operaciones rápidamente al momento de una contingencia y por el ultimo del plan de recuperación de desastres el cual nos permite en caso de contingencia recuperar los servicios un un nivel de calidad definido.
La implementación de un plan de continuidad del negocio es esencial en cualquier organización para la cual el valor de la información justifique la inversión en seguridad y así decidir si se implementa o no este y a que medida se implementa tanto de manera física como lógica.
La seguridad es un proceso continuo, no se pueden establecer unas medidas de seguridad extremas para mantener la integridad de los datos y procesos de la empresa y luego, olvidar que es necesario realizar un seguimiento continuo de las medidas implantadas, actualización de Software, revisión periódica del Hardware, etc.
ResponderEliminarPor ello una vez realizado el análisis de la empresa y dadas las
recomendaciones necesarias para conseguir dotar a la empresa de las
medidas de seguridad necesarias que cubran las precariedades con las que cuenta la empresa en materia de seguridad informática, se van a detallar unas recomendaciones finales, sobre todo de cara al futuro, para que la empresa consiga mantener el nivel de seguridad alcanzado gracias a las recomendaciones dadas.
Recomendaciones
- Mantener correctamente actualizado todo el Software de la empresa,antivirus, Sistema Operativo, Software de gestión, etc.
- Realizar, al menos una vez a la semana, copias de respaldo de todos los datos generados durante el periodo desde la última copia de seguridad.
- Realizar auditorías periódicas, recomendablemente bienales, del nivel de seguridad en que se encuentra la empresa.
- Se recomienda la contratación de personal adecuado para el mantenimiento de los sistemas y los procedimientos de seguridad (al
menos una).
- Cumplir correctamente con todo lo referente a la política de
Protección de Datos.
- Que el personal de la empresa siga las recomendaciones dadas.
- Y si es posible una certificación de seguridad informática para la empresa.
Actualmente la seguridad informática ha adquirido gran auge, dadas las cambiantes condiciones y nuevas plataformas de computación disponibles, situación que desemboca en la aparición de nuevas amenazas en los sistemas informáticos. Esto ha llevado a que muchas organizaciones hayan desarrollado documentos y directrices que orientan en el uso adecuado de estas tecnologías para obtener el mayor provecho de las ventajas que brindan, tal es el caso como por ejemplo el de establecer un Plan de Seguridad Informática en cual se busca proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización. Otro ejemplo que han adoptado muy bien las organizaciones es el de un Plan de continuidad del negocio Debido a que “Cualquier organización, en algún instante de tiempo, se deberá enfrentar a una situación anómala que amenace su actividad” y es aquí donde el Plan de continuidad del negocio tiene el objetivo de mantener la funcionalidad de una organización, a un nivel mínimo aceptable durante una contingencia.
ResponderEliminarPero es muy importante ser consciente que por más que nuestra organización sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc. y un excelente plan de continuidad, las mismas serán nulas si no se ha previsto como combatir un incendio ó como la detectar si un atacante intenta acceder físicamente a una sala de operaciones de la misma, que de cierto modo se torna más fácil lograr tomar y copiar una cinta de la sala de operaciones, que intentar acceder vía lógica a la misma, en ocasiones La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático, es por ello que se debe ser consiste en la aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial
2392-04-07959
PSI: El plan de seguridad informática es esencial hoy en día en toda organización que base su crecimiento en la tecnología, ya que sabiendo explotar la misma se pueden obtener ventajas competitivas y tener un mejoramiento y un crecimiento constante. Esto mismo lo sabe la competencia y los hackers y crackers, puede ser que el plan de seguridad no cumpla al 100% la seguridad del sistema pero al menos mitigaría cualquier evento posible, haciendo backups, para no perder nuestra información, autenticando los ingresos a nuestro sistema solamente de personas de nuestra entera confianza, previendo cualquier evento natural, entiéndase terremotos, inundaciones, o cualquier evento que dañe la infraestructura y la información contenida en ella, etc. Siempre teniendo la finalidad de proteger la información y los activos de la organización, entiéndase equipo tecnológico, software y personal. Para conseguir confidencialidad, integridad y disponibilidad.
ResponderEliminarPlan de continuidad del negocio: Su objetivo es que ante cualquier contingencia en la organización el daño sea mínimo, contemplando de antemano las medidas preventivas y de recuperación ante cualquier desastre. Como incendios, terremotos, pandemias, etc.
Seguridad física: Es la “aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial de la organización”. Y trata los controles y mecanismos de seguridad dentro y alrededor del Centro de Cómputo así como los medios de acceso remoto al centro y desde el mismo. Implementados para proteger el hardware y medios de almacenamiento de datos.
Los datos de una compañía se han convertido en uno de sus activos más importantes y por ello deben ser
ResponderEliminaradecuadamente protegidos. Sin embargo, todavía existe un número considerable de compañías que no asignan a la
información su verdadero valor y, por ello, no les conceden la protección necesaria. Para poder solucionar este problema
se debe conseguir en primer lugar el compromiso de la dirección, plasmada en una política corporativa de seguridad de la información, que formaría parte de un completo plan de seguridad que materialice la política en acciones concretas de
protección.
El Plan de Seguridad de la Informacion es un proyecto estratégico de planificación de acciones y proyectos que lleven a un Sistema de Información y sus Centros de Proceso de Datos de una situación inicial determinada a una situación mejorada, aceptable o deseada.Para alcanzar el nivel de seguridad definido en la política, es preciso el desarrollo, adopción e implementación de un plan de seguridad. Para ello se deben realizar una serie de actividades en las que personal especializado en la seguridad de la ifnormación, en coordinación con el responsable de seguridad de la compañía, se encargará de:
- Clasificación de los servicios críticos para el negocio e identificación y clasificación de los tipos de información que exigen
protección.
- Análisis de riesgos asociados a los activos de información.
- Definición de los objetivos de control, controles y medidas de protección adicionales para lograr el nivel de seguridad.
- Estudio de la situación actual, con recomendaciones.
- Análisis gap, que establezca los proyectos a implantar para alcanzar el nivel de seguridad necesario.
- Asesoría en el alcance de los proyectos a desarrollar.
Un plan de seguridad de información tiene un costo relativamente elevado, ya que exige una inversión inicial para su desarrollo y ejecución y otra posterior para la implantación y mantenimiento de las medidas adoptadas. ¿Está justificado este gasto?Para responder a esta pregunta se debe estimar el montante económico que supondría el impacto causado en el negocio en caso de que la información crítica fuese comprometida en virtud de la explotación de una posible vulnerabilidad (robo, destrucción o modificación, daño público a la imagen de la compañía, etc) y si el riesgo asociado a esa posibilidad es asumible o no.
Las organizaciones empresariales en la actualidad deben de contar con un plan de seguridad de información y con un plan de continuidad de negocio. Ambos son de suma importancia para fortalecer la seguridad informática en el mundo de las redes de computadoras.
ResponderEliminarUn plan de seguridad de la Información incluye todos los procesos/servicios involucrados en la administración de la seguridad de la información. Su finalidad es proteger la información y los activos de la organización tratando de conseguir confidencialidad, integridad y disponibilidad de los datos. Además es muy importante mencionar que los empleados deben asumir ciertas responsabilidades mientras permanezcan ligados a la organización.
El plan de seguridad de la información es de suma importancia para la empresa ya que: permite desarrollar normas y procedimientos que se relacionan con la seguridad informática y la tecnología de información además también permite analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes.
Un plan de continuidad del negocio es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones, independiente de si estas son manuales o automatizadas, las cuales son necesarias para la supervivencia de la organización. Su finalidad es contar con una estrategia planificada que faciliten u orienten a poseer una solución alternativa que permita retomar los servicios de la empresa ante una posible paralización parcial o total.
El plan de continuidad del negocio nos permite recuperar la normalidad de las actividades de la empresa rápidamente e identifica las funciones de negocio y los procesos esenciales para la continua y eficiente operación de la empresa.
CARLOS ADRIAN AGUILAR OSORIO
1092-04-14272
Los riegos que existen para una organización son los mismos, no podemos eliminarlos únicamente preveer o contar con una respuesta rápida ante uno de ellos, no se pueden catalogar cuál es el más propenso puesto que si un riesgo es considerado la probabilidad que suceda es igual a uno que nunca se ha tomado en cuenta, la diferencia es la reestructuración del servicio o bien que presta la organización, en eso se basan los Planes de Seguridad Informática (PSI) y los de Continuidad del Negocio (PNC), Los primeros se enfocan específicamente en la evaluación física y lógica de la organización para definir controles y políticas a utilizar, los PCN son más importantes a mi criterio porque si un plan de seguridad es elaborado con deficiencias el que debe corregir cuando suceda el desastre es el de Continuidad, a la vez el de continuidad está planteado para los riesgos más comunes según el área geográfica y condiciones físicas del inmueble donde está ubicado el negocio o si es un negocio en internet se deberán trasladar algunas políticas al proveedor o asegurarse que éste las contenga su propio plan de seguridad.
ResponderEliminarEl Plan de Continuidad del Negocio debe de ser documentado y probado con el fin de responder ante una emergencia de manera adecuada, logrando así el mínimo impacto a la operación del negocio. Los planes de continuidad permiten a las empresas seguir con sus operaciones durante una crisis; estas normas permiten a cualquier compañía, sin importar su tamaño, estar siempre disponibles.
ResponderEliminarPara administrar este desafío se requiere un enfoque integral, que incorpore un análisis detallado de los requerimientos del negocio, la sensibilización de los usuarios, el uso de herramientas tecnológicas y sobre todo se debe concebir fundamentalmente a la continuidad del negocio como un proceso permanente más que la suma de soluciones puntuales.
El impacto sobre el negocio es uno de los aspectos más importantes a considerar en el desarrollo de un plan de continuidad. Se trata de identificar los diversos eventos que pudieran afectar la continuidad de los procesos de negocio, las operaciones, las finanzas y también a las personas.
Es importante lograr un verdadero entendimiento de la organización, es decir, cuáles son los procesos de negocio que si fallan afectarían notablemente a la compañía en el corto y mediano plazo.
Pruebas a realizar en el plan de continuidad del negocio:
Simulaciones.
Prueba en paralelo.
Prueba de interrupción completa.
José Alexander Piril Gaitán 1092-03-14568
Contar con un plan de seguridad que cubra todas las expectativas que necesita nuestro sistema es vital para garantizar el buen funcionamiento de la información, para ello es necesario conocer las diferentes etapas que conforman un ataque informático brinda la ventaja de aprender a pensar como los atacantes y a jamás subestimar su mentalidad. Desde la perspectiva del profesional de seguridad, se debe aprovechar esas habilidades para comprender y analizar la forma en que los atacantes llevan a cabo un ataque.
ResponderEliminarAfortunadamente, en la actualidad existe una gama muy amplia de herramientas de seguridad lo suficientemente eficaces que permiten obtener un adecuado nivel de seguridad ante intrusos no autorizadas haciendo que la labor de los atacantes se transforme en un camino difícil de recorrer.
Sin embargo, más allá de cualquiera de los esquemas de seguridad que una organización pudiera plantear, existen estrategias de ataque que se basan en el engaño y que están orientadas a explotar las debilidades del factor humano. Uno de los pasos más importantes en seguridad, es la educación. Comprender cuáles son las debilidades más comunes que pueden ser aprovechadas y cuáles son sus riesgos asociados, permitirá conocer de qué manera se ataca un sistema informático ayudando a identificar las debilidades y riesgos para luego desplegar de manera inteligente estrategias de seguridad efectivas.
Para que un sistema sea seguro, deben identificarse las posibles amenazas y por lo tanto, conocer y prever el curso de acción del enemigo. Por tanto, el objetivo de este informe es brindar una perspectiva general de las posibles motivaciones de los hackers, categorizarlas, y dar una idea de cómo funciona para conocer la mejor forma de reducir el riesgo de intrusiones.
Una de las mejores soluciones es realizar auditorías continuas que incluyan monitoreo a través de programas keyloggers que pueden ser por hardware o por software, mecanismos que impidan la instalación de programas por parte del personal, estricta configuración del principio de privilegios mínimos, deshabilitación de puertos USB y prohibición del uso de dispositivos de almacenamiento extraíbles para evitar la fuga de información y entrada de otras amenazas como malware.
Generalmente, la seguridad informática consiste en garantizar que el material y los recursos de software de una organización se usen únicamente para los propósitos para los que fueron creados y dentro del marco previsto.
La seguridad informática se resume, por lo general, en tres objetivos principales:
Integridad: garantizar que los datos sean los que se supone que son.
Confidencialidad: asegurar que sólo los individuos autorizados tengan acceso a los recursos que se intercambian.
Disponibilidad: garantizar el correcto funcionamiento de los sistemas de información.
Yadira Chinchilla de Lemus
1092-01-4075
Este comentario ha sido eliminado por el autor.
ResponderEliminarLos datos de una compañía se han convertido en uno de sus activos más importantes y por ello deben ser adecuadamente protegidos. Todavía existe un número considerable de compañías que no asignan a la información su verdadero valor y, por ello, no les conceden la protección necesaria.
ResponderEliminarLos Planes de seguridad de la información es un proyecto estratégico de planificación de acciones y proyectos que lleven a un Sistema de Información y sus Centros de Proceso de Datos de una situación inicial determinada a una situación mejorada, aceptable o deseada.
El objetivo Un Plan de Continuidad de Negocio es que los servicios o procesos del negocio vuelvan al estado normal de producción que tenían antes de la interrupción. Estos planes de respuesta y respaldo se gestionan mediante planes de contingencias. Un plan de contingencia es la parte práctica del PCN. Consiste en los pasos que el personal debe realizar para hacer frente a las situaciones inesperadas que pueden afectar a la continuidad de su negocio. Puesto que el tiempo es un factor crucial en las situaciones de emergencia, se hace necesario disponer de planes de respaldo que permitan una rápida reacción ante cualquier incidencia producida por hackers, virus, desastres naturales, caídas de redes, etc. En el caso específico de un plan de contingencia, se estudia no sólo los sistemas informáticos, sino también la integración de los mismos con su modelo de negocio y desarrollamos las situaciones hipotéticas que pudieran afectar a la continuidad del servicio de los sistemas informáticos.
Es así como se mejorará el nivel de concienciación y responsabilidad con respecto a la seguridad.
Brenda Ruiz
1092 03 8456
Mantener la información de una empresa segura requiere hardware, software pero también de la implementación de un buen plan de seguridad. El PSI es donde se incluye los alcances y enfoque de los procesos involucrados en la administración de la seguridad, lo que se pretende es proteger la información de la organización consiguiendo la CID de los datos.
ResponderEliminarEl PCN dentro de la organización está diseñado para reducir el riesgo ante una interrupción inesperada de sus funciones criticas, con esta estrategia se busca que la empresa tenga una serie de procedimientos a seguir para obtener soluciones alternativas en el caso que organización lo necesite. El recuperar la normalidad de las actividades de una empresa rápidamente gracias al PCN bien diseñado después de un desastre puede evitar pérdidas cuantiosas.
Existen diferentes formas de mantener la información segura una es la seguridad física donde se pretende que los servidores de una empresa estén en un lugar adecuado con acceso restringido y que por cualquier eventualidad no puedan ser dañados y la seguridad lógica que es el cuidado que se debe tener cuando se utilizan los equipos para evitar cualquier tipo de ataques a los servidores a través de la red
Rosinely Montoya
1092 04 8539
Un plan de seguridad informática es aquel que se desarrolla con el fin de garantizar la seguridad de la información. Lo que se busca con un PSI es garantizar la confidencialidad, integridad y disponibilidad de la información elaborando para ello políticas que logren este objetivo.
ResponderEliminarDentro de estas políticas se pueden mencionar de tipo físicas como lógicas. Una de los puntos a tomar en cuenta es el acceso y para esto se pueden desarrollar políticas tanto lógicas como físicas que incluyan la autenticación de usuarios con el uso de contraseñas y otros medios físicos como los biométricos o por medio de tarjetas. En el plan se debe incluir también las que se utilizarán con los dispositivos como el uso de firewalls, proxi, IDS e IPS la utilización de VPNs o el uso de DMZ en el firewalls. En este plan se incluye la localización del equipo de manera que se proteja, especialmente el equipo en donde se encuentra la información importante.
Toda organización debe contar al mismo tiempo con un plan de continuidad del negocio, en este plan se incluye el plan de prevención de desastres. Lo que busca este plan es demostrar los costos que ocasionaría si se interrumpiera el negocio. Lo principal de estos planes es que se busca mejorar organizacionalmente.
Siempre hay que considerar que hay factores ajenos a la empresa que son ajenos a esta, como el fluido de energía eléctrica o el proveedor de internet o no estamos ajenos de que en cualquier momento ocurran desastres naturales. En el plan debe tomarse en consideración estos factores y buscar soluciones como contar con generadores eléctricos, dos tipos distintos de conexión a internet y buscar colocar los equipos en lugares seguros.
Los temas tratados anteriormente se deben tomar en cuenta en la seguridad física. Se debe pensar también en contar con redundancia como contar con storage de almacenamiento y utilizar file overs de conexión y de servidores.
Lo importante es buscar la continuidad del negocio.
Jezer Borja 2392 05 6834
Luego de conocer todo el escenario y las necesidades que se tiene en una empresa, es necesario priorizar todas las soluciones que se adquirirán o presupuestaran en un ciclo fiscal. Esto contempla al alta disponibilidad de todos los sistemas que son criticos, no podemos hablar de copias de seguridad en caso de que haya una catastrofe, si no tomamos en cuenta que en un dia normal no tengamos electricidad, como podríamos realizar respaldos si no tenemos energia electrica y mucho menos una planta electrica? claro desde mi punto de vista todo es critico, ahora bien, no pensando que todo va a explotar y necesitamos la continuidad del negocio, tomenos en cuenta la razon de la empresa, es un banco, es la tiendita de la esquina, es un isp, claro cada uno con sus necesidades, presupuesto, etc. luego de determinar todo esto podemos pensar en toda la infraestructura, tomemos como ejemplo el correo electrónico de un banco, tenemos nuestra publicación internamente, pero este servidor sufre una baja en el servicio, es posibe dejar a un banco sin correo electronico mas de 1 hora, colapsa por experiencia, claro cuando pensamos en un servidor interno, muchos pensara solo es 1, pero no, en muchas ocaciones se tienen hasta 4 o 5, dependiendo de que tantos dominios internos maneje el banco, hasta como estan configurados, modos server, gateway o transparente, como se encuentran los registros mx en los dns de la empresa, etc. con los respaldos lo mismo, si es cierto que la mayoria utiliza dispositivos externos como unidades de cinta, para tener disponibilidad en cualquier momento, es necesario tomar en cuenta el tiempo que necesitamos en restaurar la informacion, muchas tecnologias como la virtualizacion hacen posible la continuidad del negocio, claro con un plan que se adapte a nuestras necesidades..
ResponderEliminarActualmente, las redes de comunicaciones en las que se ubican los sistemas analizados, son rara vez planas. Es habitual la existencia de diferentes segmentos, separados por diferentes dispositivos y con distintas políticas de acceso. Por tanto, el análisis de vulnerabilidades ofrecerá diferentes resultados dependiendo desde qué origen se realice. Teniendo esto en cuenta, para que los resultados de los análisis sean válidos, éstos deberán ser realizados desde todas las posibles ubicaciones que puedan ocupar los potenciales atacantes, ofreciendo así distintos perfiles de visibilidad (y de exposición al riesgo) del sistema analizado.
ResponderEliminarDe forma típica, realizaremos análisis desde las siguientes ubicaciones:
• Internet: Desde Internet se tendrá acceso a los servicios públicamente accesibles de la organización. Mediante este análisis se verificará que sólo estos servicios son accesibles de forma pública.
• DMZ: Si en la organización existen segmentos de DMZ, deberán realizarse los escaneos hacia los servidores internos desde esta ubicación, ya que es un punto de entrada habitual una vez que ha sido comprometido alguno de los servidores públicos. De esta forma podrá conocerse qué grado de visibilidad tendrán los servidores internos para un atacante que ya ha conseguido comprometer algún sistema de la organización.
• Mismo segmento: El escaneo desde el mismo segmento de red permite conocer sin acceder físicamente al sistema cuáles son los servicios que tiene configurados, tanto los que se están utilizando como los que están en funcionamiento sin ser utilizados debido a malas prácticas de administración o instalaciones por defecto.
• Red Interna: Dado que una gran parte de los incidentes de seguridad en los sistemas de las organizaciones proviene de la propia organización, es importante conocer qué servicios son accesibles (y por tanto posibles causas de vulnerabilidad) desde las redes de usuarios internos.
WALTER OMAR AVILA 1092 – 01 – 7265.
El objetivo de un buen PSI, es la creación de medidas administrativas, técnicas y físicas, que protegan la información organizacional, con el fin de las siguientes razones, primero velar por la seguridad y confidencialidad de la información de la organización, segundo proteger contra cualquier amenaza o peligro a la seguridad o integridad de la información de la organización, y tercero proteger el acceso no autorizado o uso de información de la organización, que podría resultar en un daño sustancial, esto con lleva a planes de acción que pueden identificar las amenazas internas y externas razonablemente previsibles que podrían resultar en la divulgación no autorizada, mal uso, alteración o destrucción de la información, donde también se podrían evaluar la probabilidad y el daño potencial de estas amenazas, teniendo en cuenta la sensibilidad de la información, evaluar lo suficiente de las políticas, procedimientos, información de sistemas, y otras medidas preventivas en el lugar para controlar los riesgos. Construido a partir de su evaluación de riesgos, se debe de crear un plan de continuidad del negocio que ayudara a la organización para minimizar el riesgo y el impacto de una interrupción que pueda tener en su misión en curso, el plan debe abordar los activos de IT, aplicaciones de misión critica y sistemas de software, protección de datos y capacidades de seguridad, telecomunicaciones y redes.
ResponderEliminarRonald Hernandez 092-01-2828
Para que las organizaciones protejan sus activos de valor, es preciso que cuenten con procesos administrativos que fomenten la seguridad. Entre esos activos, principalmente se encuentran los datos, que se convierten en información oportuna para la toma de decisiones y estrategias del mercado.
ResponderEliminarPara que esto sea posible es importante la implementación de un Plan de Seguridad Informático que proteja dichos activos, para garantizas de esa forma la confidencialidad, integridad y disponibilidad de los datos. El PSI consta de fases específicas como lo son: Evaluación de riesgos y esas vulnerabilidades que pueden ser aprovechados por intrusos, selección de controles para contrarrestar los riesgos y la definición de políticas de seguridad que cada miembro de la organización debe acatar, según su rol en la misma. Son de suma importancia ya que consiguen que exista un compromiso de parte de toda la institución, hacia el alcance de las metas propuestas.
Recordemos que la vulnerabilidad también tiene que ver con la incapacidad de reponerse después de que ha ocurrido un desastre o alguna eventualidad que paralice el funcionamiento de la organización de forma parcial o total. Por lo que es importante conocer otros mecanismos de defensa que impulsa el buen funcionamiento de la organización, como lo es el Plan de Continuidad del Negocio. El cual es un proceso diseñado precisamente para la reducción de riesgos ante una interrupción inesperada de sus funciones. Este cuenta con fases como: análisis del impacto, plan de contingencia y un plan de recuperación de desastres.
Márelin Salazar 1092-05-8527
No es difícil ver que son pocas las empresas que no realizan un debido plan de seguridad ya que creen que nunca pasara algún tipo de sabotaje ya sea accidental, intencional por parte de las mismas personas de la empresa o ajenas a ella o bien también algún tipo de catástrofe natural ya sea por un terremoto, inundaciones, etc. En la mayoría de empresas se logra ver el cableado de la red a la intemperie, se observa un cableado no estructurado, no etiquetado, etc. Si de esta forma se encuentra la red de igual forma se debe de encontrar el servidor, sin protección de ingresos al centro de datos, sin contar con un cuarto frio adecuada para el servidor y si no se cuenta con esto, menos con una suelo y cielo falso, así como de reguladores de voltaje para la protección del servidor. En la universidad muchos ingenieros expresaron la siguiente oración: USTEDES COMO INGENIEROS DEBEN DE ANTISIPARSE SIEMPRE A LO QUE LOS DEMAS CREEN QUE NUNCA PASARA, PORQUE ALGUN DIA PASARA. Por este motivo como profesionales debemos tener en cuenta que debemos anticiparnos al cualquier cosa que pudiera suceder. La finalidad básica de los planes de seguridad deben ser el cuidado de la información que maneja la empresa y el cuidado del software y hardware. PCN el plan de continuidad del negocio depende de gran manera si se toman en cuenta todos los posibles ataques que pueda tener el sistema, ya sea físico, lógico o natural. El PCN pretende que el negocio luego de un ataque de los ya mencionados pueda proteger los más valioso que posee que es la información y que la empresa pueda ser con su continuidad lo más rápido posible ahorrando la mayor cantidad de dinero que se pueda. La seguridad física se refiere a prácticamente los accesos al centro de datos y los procedimientos que se deben tomar por cualquier suceso de causa natural como terremotos, inundaciones, etc. Primer se debe tener un control de acceso de personas por medio de gafetes, biométricos, etc. Que puedan mantener una bitácora de entrada y salida del cuarto de datos, así como la revisión de lo que hicieron dentro del centro de datos por medio de una cámara de seguridad y ver una bitácora si ingresaron al sistema operativo del servidor. El centro de datos debe contar con el enfriamiento necesario, así como la extracción de exceso de polvos que se puedan acumular el los ventiladores y pueda causar una caída del sistema. Hay que recordar los cielos y suelos falsos y la estructuración del cableado para evitar accidentes y el uso de reguladores de voltajes y baterías o generadores eléctricos en caso de corte del fluido eléctrico, extintores, etc.
ResponderEliminarJuan Carlos Xivir Velásquez
092 02 2335
Ninguna organiza esta libre de cualquier tipo de riesgo informático, en la actualidad ninguna empresa puede denominarse segura ya que ningún método cumple con el 100% de seguridad, pero, si existen un conjunto de pasos para realizar en la institución que nos ayudan a reducir los riesgos. El principal es la creación de un plan de seguridad o PSI por sus siglas que incluye todos los procesos o servicios involucrados en la administración de la información. Este plan tiene como finalidad proteger la información y todos los activos valiosos de la empresa haciendo de esta una empresa integra, confiable y disponible. Para la creación de este tipo de plan es necesario evaluar cada uno de los posibles riesgos a los que la organización está expuesto, buscar un método que reduzca o elimine dicho riesgo y ponerlo en práctica.
ResponderEliminarTambién existe el plan de Continuidad de Negocio que nos permite rescatar a la empresa en caso de que el riesgo si ocurra de manera inesperada y nos da una alternativa para poder ejecutar en este tipo se situación. Para ello es necesario analizar el impacto que este riesgo conlleva, hacer un plan de contingencia como respaldo en dicho caso y un plan de recuperación de información en caso de alguna perdida.
Debemos tener pleno conocimiento que a la hora de planificar para la seguridad de la información debemos tomar en cuenta tanto los aspectos físicos como lógicos que puedan ser un riesgo dentro de la institución. Otro factor que debemos tomar en cuenta a la hora de invertir en seguridad es que tanto dinero estamos dispuestos a perder, y debemos saber que el costo de la protección siempre debe ser menor a los activos que protegen.
Ana Luisa Reyes 1092-05-8454
Un plan de seguridad de la información aglutina en forma coherente un conjunto de procedimientos que relacionan usuarios, tareas administrativas y personal especializado enfocados a implementar o ampliar la seguridad de un centro de información. Está basado en la infraestructura actual y una proyectada. Toma en cuenta cuales son las necesidades, ataques posibles, mitigación de riegos. Presenta la situación actual y la situación deseada. Define las políticas de seguridad o las amplifica si aplica, define procedimientos a seguir.
ResponderEliminarEl objetivo de un plan de continuidad del negocio es prepara una serie de acciones para asegurarse mantenerse operaciones. Específicamente para el área de informática es necesario prever el paro de operaciones por un incidente de datos. El impacto de parar de operar, el impacto más alto que se experimenta es en la marca, y por trascendencia en el costo. Qué pasará con una empresa que depende del correo electrónico si este en un momento deja de funcionar? Cuanto por hora sería el costo, más el costo re recuperación?,
El plan de seguridad física de contemplar el acceso a las distintas áreas físicas implementando una estructura de autorización de usuarios. Debe verificarse la seguridad de los equipos, adicionalmente debe contemplar un plan de contingencia en caso de incidentes de seguridad, definiendo procedimientos de acción. Un plan de seguridad física debe contemplar también la seguridad del equipo en relación a catástrofes naturales como terremotos, incendios, huracanes, inundaciones etc.
Un plan de seguridad informática debe enfocarse en mantener la integridad, confidencialidad y disponibilidad de la información, además de proteger los activos de la organización donde se aplique dicho plan, este plan basicamente debería estar compuesto por un análisis de riesgos o vulnerabilidaes tanto físicas como lógicas, posterior a ello la creación de planes de control para reducir y/o evitar las vulnerabilidades. Además de un plan de seguridad es de suma importancia la creación de un plan de continuidad de negocio, este plan se compone de tres partes; el análisis de impacto, en el cual se identificaran cada uno de los posibles elementos de impacto que tendrá el sistema; el plan de contigencia, el cual se realizara en base al análisis de impacto y que detalla la respuesta inmediata de la organizción a los eventos maliciosos ocurridos en el sistema y que permitiran tener, funcionando, el minimo de servicios necesarios para los intereses de la organización y por último, el plan de recuperación de desastres, en éste se estudia la capacidad de la organización para recuperarse a los posibles desastres que puedan ocurrir. Estos planes deben orientarse a los sistemas físicos y lógicos que componen la estructura de información de la empresa, así como también al factor humano, el cual es muy importante para que estos planes funcionen a cabalidad. Marvin Wilfredo Jiménez Morales / 1092-03-8479
ResponderEliminarLa seguridad de una empresa es de suma importancia este tema es muy amplio se tomaran algunos temas importantes, el plan de seguridad de la información o PSI tiene como objetivo principal en efecto proteger la información y los activos de la empresa manteniendo las bases de la gestión de seguridad las cuales son confidencialidad, integridad y disponibilidad de la información. Lo que se busca con un PSI es analizar el sistema para verificar todos los riesgos existentes, dependiendo de esto se pueden desarrollar nuevas políticas o mejorar las existentes si se tienen, se pueden realizar cambios para mejorar la seguridad y lo principal es hacer conciencia dentro de la institución a las personas encargadas de los riesgos que se tiene logrando con ello generar un compromiso de resolución en sí. Muy amarrado a este tema se tiene el plan de continuidad del negocio o PCN el cual por medio de un método manual o automático se mantenga ininterrumpidas las funciones u operaciones criticas de una empresa de manera que los servicios vitales de la empresa se mantengan funcionando. Con este plan se espera poder tener un plan de contingencia con el cual se tenga de manera escrita y probada el plan para la continuidad del sistema y las operaciones de la empresa, un análisis de impacto de que se puede ver afectado y un plan de recuperación al momento del suceso. Un PCN es muy importante dado que de esta manera garantizamos los servicios mínimos para la continuidad del sistema y también se pueden identificar cuáles son los servicios mínimos esenciales para que este continúe.
ResponderEliminarLa seguridad física es de suma importancia dado que en muchos casos se tienen problemas de seguridad por no cuidar aspectos básicos como bloqueo de dispositivos como en algunos casos lo son los USBs, unidades de dvd o cd, es importante contar con una toma de corriente continua y regulada para evitar daños en los equipos, entre otros.
Marvin Xuya
092-05-866
La seguridad informática es sólo uno de los componentes de la administración de riesgos, nos permite minimizar la exposición de la empresa y dar soporte a su capacidad de lograr su misión. Para ser efectiva, la seguridad debe estar integrada a los procesos del negocio y no delegada a algunas aplicaciones técnicas. Los incidentes de seguridad más devastadores tienden más a ser internos que externos. Muchos de estos incidentes involucran a alguien llevando a cabo una actividad autorizada de un modo no autorizado.
ResponderEliminarPrepararse para múltiples escenarios parece ser la tendencia creciente. En un informe publicado por Giga Information Group con respecto a las tendencias de TI estimadas para el año 2012, se espera que los ejecutivos corporativos se interesen cada vez más en la prevención de desastres físicos, ciberterrorismo y espionaje de libre competencia. Implementar una política de seguridad completa le da valor intrínseco a su empresa. También mejorará la credibilidad y reputación de la empresa y aumentará la confianza de los accionistas principales, lo que le dará a la empresa una ventaja estratégica.
El Plan de Seguridad Informática es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo.
Es necesario que hoy en día se cuenten con los conocimientos necesarios para poder realizar el plan adecuado a cada una de las necesidades de las organizaciones porque las fortalezas y debilidades de las empresas varían según su enfoque o su metodología. Los planes de Seguridad aportan de gran manera una ayuda sustancial a la prevención de desastres de tipo informático.
En los temas relacionados con la Seguridad en Redes, no hay que pasar por alto lo relacionado con los Planes de Seguridad de la Información (PSI) y Planes de Continuidad del Negocio (PCN), en ocasiones las empresas o instituciones invierte una cantidad considerable de tiempo, dinero y esfuerzo en la protección de los activos de información que poseen, lo cual definitivamente es una tarea importante, sin embargo es necesario también realizar estudios y elaborar planes de seguridad de la información, estos planes conllevan a la evaluación de riesgos de seguridad en la información, la selección de controles y objetivos de control para mitigar los riesgos en la seguridad y finalmente la definición de políticas de seguridad por medio de las cuales el plan de seguridad tenga una continuidad y no se vea solo como un proyecto que finaliza después de ser implementado. En cuanto a los Planes de Continuidad del Negocio, también es importante definir y diseñar planes que permitan de alguna manera dar las directrices de los proceso y procedimientos que se deben de seguir en caso de ocurrir una paralización de los servicios, por cualquier motivo que estos se den, para que en el menor tiempo posible de puedan restablecer los mismos y/o la operación del negocio, tomando en cuenta también que el costo de la implementación de un plan de continuidad en ningún caso debería de ser mas alto que el mismo activo de información que se esta protegiendo ya que si no, no tendría sentido la implantación del mismo. Víctor Sebastián Pérez 092-96-2177
ResponderEliminarGeneralmente, la Seguridad Informática consiste en asegurar que los recursos del sistema de información (Software, hardware y datos) de una organización sean utilizados de la manera como se planeó. Hoy en día, los sistemas informáticos son herramientas muy útiles. Básicamente, en ellos, se registra y procesa la información de las empresas; pero son susceptibles de amenazas; por tal razón, la Auditoria Informática se encarga de evaluar si se están cumpliendo con las medidas de control para minimizar los riesgos que conlleva la utilización de sistemas informáticos.
ResponderEliminarSegún las fuentes de amenazas, estos riesgos clasifican en Seguridad Lógica y Seguridad Física. El activo más importante de una organización es la información; por ello, es necesario contar con planes y políticas para protegerla.
Un plan de seguridad de la información (PSI) busca conseguir los tres conceptos previamente mencionados, y los más importantes de la seguridad; la confidencialidad, integridad y disponibilidad, se apliquen. Estos factores son esenciales para lograr controlar los riesgos y administrarlos de forma preventiva. en este plan se debe de abarcar diversas etapas, como la evaluación de riesgos, selección de objetivos, definición de políticas de seguridad. pero esto no tiene sentido sino se realiza un plan de continuidad del negocio (PCN), que tiene como propósito reducir el riesgo de la institución ante una amenaza inesperada. entonces el PCN busca ser preventivo al realizar procedimientos planificados ante una amenaza.
ResponderEliminarEs muy importante tomar otro factor y no solo es la seguridad lógica, sino también la seguridad física, como sistemas biométricos, cerraduras, alarmas, bloqueo de dispositivos de E/S etc. La aplicaciones de estos niveles de seguridad se debe de realizar con el mayor cuidado posible y analítica, esto para que no existan defectos y por definición vulnerabilidades tanto fisicas y logicas en el sistema.
Es importante saber que tan vulnerable esta la información de una organización y por medio de los procesos y servicios de la administración dentro de un plan de seguridad se puede proteger la información y los activos de la organización, siempre y cuando tratando de conseguir la confidencialidad, integridad y disponibilidad de los datos.
ResponderEliminarEl alcance que pretende evaluar el PSI son los riesgos de seguridad a los que está expuesta la información, lo importante es hacer conciencia a los miembros de la empresa acerca de la sensibilidad e importancia de la información y servicios críticos.
El Plan de Continuidad del Negocio PCN es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones / operaciones críticas, su finalidad es contar con una estrategia bien planificada con procedimientos fáciles que orienten para tener una solución alternativa y que permita restituir los servicios a la hora de una eventual paralización, ya sea de forma parcial o total.
El alcance que del PCN es tener un análisis de impacto, un plan de contingencia y un plan de recuperación de desastres, ya que garantiza la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas y permite que la institución continué funcionando en caso de una interrupción y que sobreviva a una interrupción.
La mejor manera de proteger los datos es tomando en cuenta la seguridad física y lógica, por medio de un plan estratégico de análisis de riesgos ya que no sólo nos lleva a establecer un nivel adecuado de seguridad, sino que permite conocer mejor el sistema que vamos a proteger y cuanta protección es necesaria y de qué forma la vamos a proteger. Algunas políticas de seguridad que se pueden tomar en cuantas son las administrativas, las de control de acceso y las de flujo de información, en las que se tienen que implementar ciertas medidas básicas como el plan de emergencia y el plan de recuperación.
Irene Rodríguez 1092-00-4665
El propósito de establecer este Plan de Seguridad Informática es para proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización.
ResponderEliminarPero igual de importante es tener un plan de continuidad de negocio, que es un proceso para proteger de una interrupción inesperada de la funcionalidad de la empresa; la disposición de este plan puede depender de la cantidad, la importación que esta representa tanto económica como de funcionalidad la información para la empresa.
Estas políticas emergen como el instrumento para concienciar a sus miembros acerca de la importancia y sensibilidad de la información y servicios críticos, de tal forma que permitan a la empresa cumplir con su misión. El proponer esta política de seguridad requiere un alto compromiso de la institución, agudeza técnica para establecer fallas y deficiencias, y constancia para renovar y actualizar dicha política en función de un ambiente dinámico.
El plan de continuidad debe garantizar la Disponibilidad de los sistemas de información, el Recupero rápido y completo de los sistemas de información, la Integridad de la información y la Confidencialidad de la información.
Nuestra Propuesta debe implementar políticas de Seguridad Informática, identificación de problemas, desarrollo del Plan de Seguridad Informática y análisis de la seguridad en los equipos de computación.
Julio Roberto Blas
1092-01-731
Se entiende por seguridad de la información a todas aquellas medidas preventivas y reactivas del hombre, de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma.
ResponderEliminarEste campo ofrece muchas áreas de especialización, incluidos la auditoría de sistemas de información, planificación de la continuidad del negocio, ciencia forense digital y administración de sistemas de gestión de seguridad, entre otros.
En la seguridad de la información es importante señalar que su manejo está basado en la tecnología y debemos de saber que puede ser confidencial: la información está centralizada y puede tener un alto valor. Puede ser divulgada, mal utilizada, ser robada, borrada o saboteada. Esto afecta su disponibilidad y la pone en riesgo. La información es poder, y según las posibilidades estratégicas que ofrece tener a acceso a cierta información, la cual se clasifica en Crítica: Es indispensable para la operación de la empresa. Valiosa: Es un activo de la empresa y muy valioso. Sensible: Debe de ser conocida por las personas autorizadas
La finalidad del PSI es proteger la información y los activos de la organización, tratando de conseguir Confidencialidad que es la propiedad de prevenir la divulgación de información a personas o sistemas no autorizados. Integridad es el mantener con exactitud la información tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados. Disponibilidad que es el acceso a la información y a los sistemas por personas autorizadas en el momento que lo requieran.
El PCN o Plan de Continuidad del Negocio es el resultado de la aplicación de una metodología interdisciplinaria usada para crear y validar planes logísticos para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre.
OJO: El concepto de seguridad de la información no debe ser confundido con el de seguridad informática, ya que este último sólo se encarga de la seguridad en el medio informático, pudiendo encontrar información en diferentes medios o formas.
Ruger Omar Vásquez Flores
1092-01-7315
El Plan de Seguridad Informática Surge por la Necesidad del resguardo de la información de la empresas, gobiernos etc, para lograr el éxito de esto debemos de tomar en cuenta todos los servicio y procesos que tiene relación con la administración de la seguridad, el objetivo primordial de un plan de seguridad informática es dar confidencialidad. Integridad y disponibilidad de los datos así mismo proteger los activos de la organización. Las organizaciones deben de capacitar a sus empleados sobre todo el grado de responsabilidad que tienen en el aspecto de la seguridad, ya que se ha comprobado que los empleados son el origen de muchos ataques en la organizaciones para evitar esto se deben de establecer una políticas de seguridad que ayudaran al mejor resguardo de a información , entre estas políticas podemos mencionar los procesos políticas que se debe de llevar para tener la continuidad del Negocio, esto es creado para reducir el riesgo de la interrupción de los servicios u operaciones críticas dentro de una organización ya sean manuales o automatizadas, los proceso de continuidad del negocio analiza el impacto que se tiene cuando estos procesos son interrumpido y también se analiza la forma en que se puede evitar y como se puede reaccionar cuando sucede la interrupción. Se debe de tomar encuenta cuando nos referimos a interrupción puede ser lógicas programas de computadores o físico como la energía eléctrica, perdida de servidores.
ResponderEliminarAmilcar Noé Reyes Cardoza 92-00-04520
ResponderEliminarEl uso cada vez más creciente de las tecnologías de la información por parte de las diversas empresas y demás organizaciones también se refleja cada vez más en las oficinas, empresas y entidades sistematizadas o en proceso de sistematización, lo que ha dado lugar en la mayoría de los casos a la dependencia de frágiles sistemas informáticos y redes de datos para soportar las funciones más críticas de la actividad empresarial; no existe una amplia conciencia sobre la importancia de garantizar en la misma medida, la seguridad de los recursos involucrados. Por lo general, no es un tema que se considere en forma apropiada por los directivos de las empresas, la importancia y el apoyo que se le brinda es relativamente poco o ninguno, por lo que disponer de planes que garantice la continuidad del negocio ante desastres ya sean de origen internos o por factores externos es hoy en día una prioridad, que permite minimizar el impacto sobre la organización y recuperarse de las pérdidas de activos de información hasta un nivel aceptable a través de una combinación de controles preventivos y de recuperación.
ResponderEliminarLa finalidad del PSI es en establecer los principios organizativos y funcionales de la actividad de Seguridad Informática en una entidad en él se encuentran claramente las políticas de seguridad y responsabilidades de cada uno de los integrantes que intervienen en el proceso informativo, así como las medidas y procedimientos que permitan prevenir, detectas y responder a amenazas.
La finalidad del PSI es proteger la información y los activos de la organización, tratando de conseguir confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización.
El PCN (Plan de Continuidad del Negocio). Es tener un plan B como una estrategia planificada, como una serie de procedimientos que faciliten u orienten a tener una solución.
Aída Isabel Chamay Corado 1092-05-8915
El contar con un plan de seguridad informatico es importante, ya que la informacion es la que mueve a la empresa, es necesario que se cuente con planes de contingencia a nivel fisico y a nivel logico.
ResponderEliminarSe debe contar con instalaciones adecuadas alejandos de fuentes termicas o acuaticas que represente riesgo a nivel fisico para el equipo de computo y tambien es necesario contar con planes de seguridad a nivel logico como por ejemplo hacer copias de seguridad cada cierto tiempo, para evitar perdidas grandes de informacion, de ser posible contar con sucursales para replicas de informacion.
Una observacion importante es que para los accesos a nivel fisico, lo ideal es que se tenga acceso por medio de algun medio biometrico, debido a que el uso de tarjetas puede dar lugar a que personas no autorizadas accedan al equipo de computo y dado en algun momento hacer daño.
Se deben establecer politicas de seguridad a nivel de sistemas almacenamiento, copias de seguridad, y lo mas importante,instar al usuario a que colabore conla seguridad de la informacion
Luis Estuardo Gonzalez Ortiz -- 092-04-509
Hoy en día es difícil hacer conciencia a los miembros de una empresa sobre la importancia que tiene nuestra información y el porque debemos de protegerla. Por estas razones debemos de invertir en seguridad ya que en varias ocasiones la información se convierte en un punto vulnerable dentro del sistema de información por la falta de compromiso que existe dentro y fuera de la empresa perdiendo así la integridad delos datos. Es por eso muy importante establecer un PSI y un PCN, el primero nos permite detectar problemas de vulnerabilidad, realizando cambios para cubrir los riesgos existentes. El objetivo principal de psi es establecer políticas de seguridad para comprometernos con la institución. El segundo nos permite tener estrategias funcionales establecidas para poder restituir los servicios de una organización ante una eventualidad. Es recomendable proteger los datos por medio de una seguridad lógica y física; establecer un plan de contingencias para poder restituir los servicios de la organización de manera eficiente. Y así asegurar que nuestra empresa continúe funcionando en caso de una interrupción.
ResponderEliminarYara Robles 1092-00-4190
El PSI (Plan de Seguridad Informática) busca proteger la información y los activos de la empresa en general, tratando de conseguir el CID de la información; y las responsabilidades de cada uno de los involucrados dentro de la organización. Evaluando los riesgos, generando controles, definiendo políticas, detectando necesidades y desarrollando normas que garanticen la seguridad dentro de todos los procesos que el flujo de la información conlleva.
ResponderEliminarEl PCN (Plan de Continuidad de Negocio) pretende prevenir los riegos que ante la suspensión inesperada de las operaciones de la empresa, como puede ser el que hacer ante una catástrofe, que acciones tomar en el punto cero. Planiifcar una estrategia que guie a la empresa por una serie de procedimientos que faciliten la pronta restitución de operaciones, minimizando los tiempos de acción, para que la paralización de las funciones se cada vez menor. Analizando el impacto, llevando acabo el plan de contingencia y la recuperación de desastres.
Tanto el PSI como el PCN deben contemplar la aplicación de seguridad física y lógica. Como son el uso de herramientas de protección de la información en el mismo medio en el que se genera o transmite, protocolos de autenticación entre cliente y servidor y aplicación normativas. Procedimientos de protección física del sistema: acceso personas, incendio, agua, terremotos, etc. Medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad, planes de contingencia, aplicación de normativas, etc.
El plan de seguridad informática nos ayuda a tomar en cuenta que debemos salvaguardar la información con la que cuenta la empresa, ya que es uno de nuestros activos y no debemos descuidarla en ningún momento en el que requiramos de los datos (confidencialidad, integridad y disponibilidad). Además podemos mencionar que también los empleados son responsables del manejo de la información, por lo cual deben actuar apegados a las normas para no tener problemas.
ResponderEliminarAdemás contamos con el PCN el cual se denomina por sus siglas, plan de continuidad del negocio, que no es más que un procedimiento para evitar la interrupción del negocio en algún momento crítico. El PCN contempla 3 aspectos fundamentales los cuales son: análisis del impacto, plan de contingencia y plan de recuperación de desastres. Por último debemos tomar en cuenta que los datos los debemos de proteger tomando en cuenta tanto la seguridad física como la lógica, ya que de ésta forma no se nos podrá escapar algún detalle al momento de cualquier accidente dentro de la empresa.
Un plan de seguridad de información (PSI), constituye la implementación se sistemas de seguridad lógico: aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo se permita acceder a ellos a las personas autorizadas para hacerlo; Sistemas de seguridad físico: Mecanismos de prevención y detección, destinados para proteger todos los dispositivos físicos de los sistemas., así como la aplicaciones de políticas internas de seguridad; con el fin de proteger la información contra intrusos y desastres. Dentro de los planes de continuidad del negocio ante ataques y desastres, podemos mencionar los DRP (Plan de recuperación ante desastres) el cual se apoya en medidas de seguridad como BackUp de la información, alta disponibilidad de la información (redundancia de información y hardware en áreas críticas).
ResponderEliminarPero tanta seguridad no serviría de nada, si no se establecen políticas de seguridad física, ya que aunque tengas un excelente cortafuegos, un antivirus, anti span, etc. pero si el hardware está al alcance de los intrusos, estos podrían extraer físicamente los discos duros, o hacer modificaciones que dejarían vulnerables nuestros sistemas. Por lo que se deben establecer medidas de restricción de usuarios, en áreas criticas de la institución, de manera que solo usuarios con permisos previamente autorizados tengan acceso.
El conjunto de todas estas técnicas generara un PSI que buscara mantener la integridad de los bienes físicos y lógicos de la empresa.
2392-05-6840
Roberto Arriaga
Este comentario ha sido eliminado por el autor.
ResponderEliminarAntes de redactar un plan de seguridad debemos evaluar lo que vamos a proteger. Comenzando por nuestros datos. Siguiendo por Software, y Hardware, claro está incluyendo la disponibilidad del mismo.
ResponderEliminarUn dato importante es que la mayoría de los ataques son realizados por personas que se encuentran dentro de la empresa.
Una perdida de información no solo puede darse por ataques de Hackers o ataques internos, sino también por pérdida de listados con datos de clientes, pérdida de computadoras portátiles, PDAs, agendas electrónicas, etc.
Los desastres naturales también constituyen una amenaza, acompañado de errores humanos.
Debido a la complejidad de los ataques se hace necesario contar con un plan de continuidad del negocio en el cual sean vistos aspectos como el análisis de riesgos, plan de contingencia y plan de recuperación de desastres.
Las fases que incluye un PCN (plan de continuidad del negocio) y/o PRD (plan de recuperación de desastres) son:
Gestión e iniciación del proyecto:
Establece un equipo para el proyecto y una estrategia para
desarrollar el plan.
Análisis de impacto sobre el negocio (AIN) o BIA:
Identifica los aspectos críticos relacionadas con el máximo tiempo en que un proceso puede estar no disponible.
Estrategia de recuperación:
Identifica y selecciona las apropiadas alternativas de recuperación para lograr los tiempos requeridos definidos en el AIN.
Diseño del plan y desarrollo:
Se trata en esta fase de documentar las estrategias de recuperación.
Prueba, Mantenimiento, y entrenamiento:
La idea es esta fase es probar las estrategias de recuperación anteriormente definidas, manteniendo actualizado el plan y dándolo a conocer a todos los empleados.
Ludwin René Ayala Sanchez - 1190-04-14718
Las políticas de seguridad, son otros de los elementos sustanciales a la hora de definir y diseñar una red de comunicaciones. Estas en sí, su principal objetivo es la de asegurar la continuidad del negocio, minimizando los riesgos que la red interna y externa contiene. Sin embargo, de nada sirve contar con un plan de seguridad, con todas las políticas pertinentes, si sólo se tiene en papel, y es allí el papel del Auditor en Sistemas debe verificar si las normas o las políticas de seguridad, están cumpliendo a cabalidad las normas por el cual han sido diseñadas. No obstante, se debe de planificar y organizar de manera consistente la seguridad física de una organización, implementado correctamente los dispositivos de seguridad de la red, de manera, que la red interna y externa de la organización, funciones de forma continua y operando en un plazo de las 24 horas del día y los 365 días del año. Esto debe ser garantizado por parte de los encargados de los sistemas de redes.
ResponderEliminarJosé Alfredo Magzul
092-04-12836
Un plan de seguridad en Informática, pretende presentar la información sobre los riesgos de tecnología de información, plantear políticas de seguridad para la empresa y una serie de etapas con las cuales se llegan a implementar las restricciones y procedimientos planteados en las políticas, comprendiendo la revisión de las siguientes funciones al interior del área de sistemas:
ResponderEliminar- Políticas y procedimientos para administrar los riesgos de TI.
- Actividades de desarrollo y mantenimiento de sistemas informáticos.
- Seguridad de la información
- Administración de la seguridad de la Información.
- Aspectos de la seguridad de la información (lógica y física).
- Inventario periódico de activos asociados a TI
- Operaciones computarizadas.
- Administración de las operaciones y comunicaciones
- Procedimientos de Respaldo
- Planeamiento para la continuidad de negocios
* Auditoria de sistemas
Maicol Alejandro Fransue García López
092-07-1265
En la administración de seguridad de la información se basan los planes de seguridad de la información, este debe incluir todos los procesos y servicios involucrados, su objetivo es proteger dicha información pues son activos importantes para una organización, lo que debe asegurar es la confidencialidad, disponibilidad e integridad de los datos mencionando a los empleados responsables de cada asignación. La finalidad entonces de la PSI consiste en poder evaluar los riesgos a los que esta expuesta la información y poder indicar controles para mitigarlos, de igual forma establecer políticas para que los controles permanezcan en el tiempo.
ResponderEliminarEl PCN o Plan de Continuidad del Negocio es el resultado de la aplicación de una metodología interdisciplinaria usada para crear y validar planes logísticos para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. Finalmente al realizarlo la organización contará con una estrategia planificada y procedimientos que faciliten tener una alternativa ante una eventualidad de paralización total o parcial.
Ademas de las planes se debe contar también con seguridad física y lógica de los datos. En la seguridad física se vela por procedimientos físicos del sistema, medidas de prevención de riesgos tanto físicos como lógicos a través de una política de seguridad planes de contingencia aplicación de normativas.
El plan de seguridad informática es el documento que describe el Sistema de Seguridad Informática diseñado y establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo, también garantiza la confidencialidad, integridad y disponibilidad de la información, el plan de seguridad comprende software, bases de datos, metadatos, archivos y todo lo que la organización valore (activo) y signifique un riesgo si ésta llega a manos de otras personas o se perdiera en caso de un siniestro.
ResponderEliminarEs muy importante tomar en cuenta que no solo existen riesgos de intrusiones, perdida o robo de información, dentro del plan de seguridad también existe el riesgo de pérdida por siniestros (terremotos, inundaciones, incendios) por lo que hay que tomar en cuenta toda la infraestructura (Servidores, terminales, líneas telefónicas, entre otros), incluido el personal, deben saber qué hacer en caso de un siniestro.
En caso de que no se pueda evitar y ocurra un siniestro es importante contar con el plan de continuidad del negocio y de esta forma establecer una estrategia que permita una solución alternativa para restablecer las operaciones críticas de la empresa para continuar operando.
Leslie Corina Valdez Rivas
1092-03-1715
A pesar de que la mayoría de las empresas el día de hoy están conscientes de la importancia de la seguridad de la información, aún falta mucho por hacer. Por ello es necesario tomar plena conciencia y comenzar a tomar acciones, antes de que sea demasiado tarde para su negocio.
ResponderEliminarLas políticas de seguridad son las que nos establecen estándares de seguridad y que se deben ser seguidos por todos los involucrados con el uso y mantenimiento de los activos. También hay que priorizar las acciones de seguridad, o sea iniciar un trabajo de implementación de seguridad en las áreas más estratégicas, esto con el fin de poder identificar el rumbo de las acciones de seguridad.
Después de conocer las amenazas y puntos débiles del ambiente, adquiridos en el análisis de riesgos, o después de la definición formal de las intenciones y actitudes de la organización que están definidas en la política de seguridad de la información, debemos tomar algunas medidas para la implementación de las acciones de seguridad recomendadas o establecidas.
Recordemos que las amenazas son agentes capaces de explotar fallos de seguridad, que denominamos puntos débiles y, como consecuencia de ello, causan pérdidas o daños a los activos de una empresa y afectan sus negocios.
No basta conocer las fragilidades del ambiente o tener una política de seguridad escrita. Debemos instalar herramientas, divulgar reglas, concienciar a los usuarios sobre el valor de la información, configurar los ambientes etc. Debemos elegir e implementar cada medida de protección, para contribuir con la reducción de las vulnerabilidades.
Cada medida debe seleccionarse de tal forma que, al estar en funcionamiento, logre los propósitos definidos. Estos propósitos tienen que ser muy claros.
• Un BCP o business Continuity Plan asegura la continuidad de las operaciones en caso de desastre, nos va a brindar cuales son las operaciones mínimas básicas que asegurará a nuestra empresa mantenerse a flote. (inmediato, a corto plazo)
• Un DRP o Disaster Recover Plan es un plan que nos indica que medidas tomar para recuperamos en caso de un desastre, restaurará nuestro sistema en el menor tiempo posible. (con tiempo, a largo plazo)
Este comentario ha sido eliminado por el autor.
ResponderEliminarUn plan de seguridad es un documento de gran importancia para que una empresa pueda funcionar correctamente ante un posible fallo en los sistemas de cómputo, accidentes provocados o ya sea al fenómeno natural. Así mismo deben de considerarse los sabotajes o de forma involuntaria. Con esté documento se debe de lograr que la empresa tenga la perdida mínima protiengiendo siempre el activo más valiosa de está (la información).
ResponderEliminarUn plan de contingencia del negocio debe ser el adecuado ya que este debe contener las responsabilidades de los empleados con respecto a los bienes que están dentro de la empresa como fuera de está. Para que los activos o sistemas estén resguardados correctamente, se hace mención a dos conceptos que se deben de aplicar la seguridad lógica, la cual consiste en implementar herramientas de protección de la información, protocolos de autenticación entre los diferentes nodos de la red y los servidores, así como la aplicación de normas de seguridad. Y también se debe aplicar lo que se conoce como seguridad física, esta consiste en implementar procedimientos de protección física tanto a la información como a los ambientes de laborales, esto se puede lograr mediante control de accesos restringidos mediante gafetes de seguridad, medidas contra incendios, inundaciones, etc.
Para todos estos temas es importante saber que debe existir dentro de la empresa un ambiente o cultura de seguridad informática.
Creo que allí es el punto medular del aseguramiento de la continuidad del negocio.
Carlos Arias
1092-02-404
Un Plan de Seguridad de la Información nos permite desarrollar e implementar políticas de seguridad para garantizar la disponibilidad, integridad y confidencialidad de la información.
ResponderEliminarUn buen plan de seguridad debe contemplar procesos de análisis de riesgos de la seguridad física y lógica que detecte posibles vulnerabilidades a las pueda estar expuesta la información.
Proveer seguridad a los sistemas de información no solo implica desarrollar o implementar un plan de seguridad, este debe estar acompañado de un Plan de Continuidad del Negocio que permita realizar análisis de impacto que identifique los diversos eventos que puedan impactar la continuidad de las operaciones del negocio.
El plan de continuidad de negocios nos debe ayudar a reducir los riesgos ante cualquier interrupción inesperada de las funciones u operaciones básicas independientemente si son procesos manuales o automatizados. Estos deben ser parte integral de una estrategia planificada y consensuada entre las partes involucradas y que permitan obtener soluciones alternativas de forma parcial o total.
En conclusión un plan de seguridad de puede implicar costos elevados de operación pero debemos tener en cuenta que el activo mas valioso de toda organización es su “Información” entonces protegerla, es uno de los objetivos principales que fortalece la continuidad del negocio para satisfacer y exceder las expectativas de sus empleados, socios y principalmente sus clientes.
Leonel Chamo | 1092 – 99 - 2132
La finalidad del Plan de Seguridad de Información (PSI) es proteger la información y los activos de la organización, logrando con su estrategia la confidencialidad, integridad y disponibilidad de los datos; y las responsabilidades que debe asumir cada uno de los empleados mientras permanezcan en la organización, según su rol y perfil; este plan permite desarrollar normas y procedimientos que pautan las actividades relacionadas con la seguridad informática y la tecnología de información y también permite analizar la necesidad de cambios o adaptaciones para cubrir los riesgos existentes. El Plan de Continuidad del Negocio (PCN) es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada de sus funciones y/o operaciones críticas, su finalidad es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización, su alcance es en análisis de impacto, plan de contingencia y plan de recuperación de desastres. El estudio de la seguridad informática puede plantearse desde dos enfoques: Seguridad Física que se refiere a la protección física con procedimientos de acceso personas, incendio, agua, terremotos, también realizando planes de amenazas físicas, planes de contingencia, etc; y la Seguridad Lógica que se refiere a la protección de la información en su propio medio mediante el uso de herramientas de seguridad, protocolos de autenticación entre cliente y servidor, aplicación de normativas.
ResponderEliminarHilder Gutiérrez
2392-03-6228
La seguridad de la información, implica aplicar procesos de cambio que ayuden a mantener la disponibilidad y la confiabilidad en tiempo real. Para esto, la creación de un Plan de Seguridad Informática es fundamental. Se detallan los procesos, acciones y políticas necesarias para elevar, mantener y garantizar niveles de seguridad adecuados para las organizaciones.
ResponderEliminarTodo PSI tiene la finalidad de generar protección a la información, sistemas y activos de la empresa. Además de generar la confidencialidad y disponibilidad a todos los usuarios de la red. Aquí se definen roles, responsabilidades y perfiles dentro de la organización para establecer las actividades que cada empleado debe realizar para cumplir con el objetivo. Con la definición de políticas se generaliza la visión del plan de seguridad dentro de la empresa, también se realizan análisis de riesgos y detección de vulnerabilidades para identificar acciones aplicables a la disminución de estos.
Por otra parte existe también el Plan de Continuidad del Negocio, el cual es de suma importancia para la supervivencia de la organización con procesos diseñados para reducir los riesgos frente a sucesos inesperados. Este plan abarca contingencias y recuperación ante desastres. Es decir, plantea acciones a realizar después de sucedidos los eventos de riesgo; esto garantiza la recuperación inmediata de las actividades en la empresa.
La seguridad física es punto clave en la garantía de seguridad informática, esto se refiere al uso de herramientas de protección de hardware y mecanismos de control para usuarios.
En si la seguridad abarca todo lo relacionado a infraestructura y su contenido (la información)
Blanca María Vargas Barillas / 2392-05-15593
Hola Blanca ya terminaste esta parte
EliminarHablaremos acerca de procesos fundamentales en un sistema de seguridad, estas son PSI Plan de Seguridad de Información que su fin fundamentales el de proteger las tres características fundamentales de un sistema de información que son la Confidencialidad, Integridad y Disponibilidad. Esto por medio de conocer todas las posibles vulnerabilidades con las que se cuenta y así desarrollar tanto sistemas como normas para prevenirlas; por otro lado tenemos la PCN Plan de Continuidad del Negocio es en el cual se estipulan sistemas y procedimientos en el caso de una eventualidad para mantener la empresa activa no contando con el sistema original sino con un sistema auxiliar en lo que la eventualidad en sistema original es tratado según fue contemplado en el caso de que sucediera para reactivar el sistema al 100% lo mas rápido posible para evitar deterioro en los servicios que esta empresa proporcione.
ResponderEliminarPor otro lado tenemos que siempre tener en cuenta son los sistemas de seguridad tanto físicos como lógicos con los que nuestro sistema debe de cumplir. Cuando hablamos de sistemas físicos se habla acerca de formas de restringir el acceso a puntos de red como física para evitar ataques presenciales por medio de contraseñas, tarjetas de identificación, etc. mientras que en la parte lógica nos referimos a métodos de monitoreo de flujos de información, encriptación, normativas, etc. todo con el fin de evitar que usuarios tengan acceso a información que no les compete. Un sistema bastante utilizado es el BLP que determina que La escritura hacia abajo está prohibida, La lectura hacia arriba está prohibida, Es el llamado principio de tranquilidad que significa que nadie que no tenga autorización de un nivel superior tiene que poder ver archivos que no competen a su nivel de seguridad ni tampoco alguien de arriba puede estar manipulando información que este por debajo de su nivel de seguridad.
ROMMEL ANIBAL VILLELA PONCIANO
2392-01-133
Los planes de seguridad informática representan un tipo especial de reglas de negocios documentadas. Los trabajadores deben recibir instrucciones claras y definitivas que los ayuden a garantizar la seguridad de la información generada en el día a día de su trabajo.
ResponderEliminarCada día es más evidente la necesidad de centralizar los Planes de Seguridad para cubrir todo lo que sucede en la empresa. Por ejemplo, los administradores de sistemas no pueden instalar con seguridad un cortafuego, a menos que hayan recibido un grupo de políticas claras, porque ellas estipulan el tipo de servicios de transmisión a permitir, cómo autentificar las identidades de los usuarios y cómo llevar un registro de los eventos relativos a la seguridad. Por ejemplo, los planes son importantes documentos de referencia para auditorías internas y para la resolución de disputas legales acerca de la debida prontitud de la gerencia.
Las políticas de seguridad son una fuente de instrucciones importante y referenciada que detalla cómo los trabajadores pueden proteger tanto la información como los sistemas que la contienen. existen indicios de que los documentos de políticas pueden servir de demostración de la intención original de la gerencia y, por lo tanto, reducir su potencial responsabilidad legal, e inclusive pueden utilizarse como evidencia de las intenciones gerenciales de salvaguardar información intelectual. Este es un paso esencial pero desatendido en la protección de los secretos industriales. Igualmente, los planes de seguridad informática pueden ser evidencia de los procesos de control de calidad, lo cual puede dar la suficiente confianza de como se maneja la información dentro de la empresa.
Debemos estar claros que la seguridad de nuestros sistemas no dependen nada mas de dispositivos físicos o software, si no que tenemos que tener también un Plan de Seguridad de Información que busquen conseguir integridad, confidencialidad y disponibilidad de los datos, ademas de hacer que todos los que intervienen en la empresa asuman la responsabilidad de minimizar los riesgos.
ResponderEliminarAdemas de esto debemos contar con un plan de continuidad del negocio, ya que existen empresas que pueden cambiar de administración y la seguridad se vea en riesgo.
Para esto, conociendo la naturaleza de nuestras empresas, elaborar un plan de contingencia y un plan de recuperación de desastres, lo cual nos garantice el funcionamiento optimo de nuestros sistemas.
César Paz
2392-04 6274
La finalidad principal de los planes de seguridad informática es salvaguardar el activo mas valioso de la empresa, es decir permite incluir los procesos y servicios involucrados en la seguridad de la información, determinando el alcance y enfoque de los procesos involucrados en la administración de la seguridad, permitiendo la confidencialidad, integridad y disponibilidad de la información.
ResponderEliminarPlan de continuidad de negocios es un proceso diseñado para reducir el riesgo de la empresa ante una interrupción inesperada de sus funciones u operaciones críticas, las cuales son necesarias para la supervivencia de la empresa. permitiendo que una estrategia planificada, genere una serie de procedimientos que faciliten una solución alternativa que permita restituir rápidamente los servicios de la organización ante la eventualidad de paralización, ya sea de forma parcial o total.
Seguridad física nos permite crear medidas de prevención de riesgos físicos a través de las política de seguridad, planes de contingencia, etc. como lo son las cerraduras, tarjetas con alarma, bloqueo de dispositivos, tarjeta de control de acceso al hardware, Suministro para las ininterrupciones des corriente, Toma de tierra, etc.
PSI: Plan de seguridad de la información (procesos/servicios) involucrados en la administración de la seguridad de la información. La finalidad es proteger la información y los activos para conseguir confidencialidad, integridad y disponibilidad de los datos.
ResponderEliminarPCN: es plan de continuidad del negocio, es un proceso diseñado para reducir el riesgo de la institución ante una interrupción inesperada. La finalidad es contar con una estrategia planificada, una serie de procedimientos que faciliten u orienten a tener una solución alternativa.
Alcance del PCN: Análisis de impacto – es la identificación de los diversos eventos que podrían impactar la continuidad de las operaciones y la organización, plan de contingencia – del análisis del impacto y riesgos se genera un plan que es un instrumento sistematizado que facilita y orienta una solución, plan de recuperación de desastres – su objetivo es la evaluación de la capacidad de la empresa para restaurar los servicios a nivel acordado de calidad.
Seguridad Lógica: uso de herramientas de protección de la información, protocolos de autenticación y aplicación de normativas
Seguridad Física: Procedimiento de protección física del sistema: acceso de personas, incendios, agua, terremotos, etc.
Implantación de Medidas Básicas: Plan de emergencia, Plan de recuperación.
Plan de Continuidad: Oficinas de servicios propia, acuerdos con empresas vendedoras de HW y SW, acuerdo recíproco entre dos o más empresa, Arranque en frío, sala vacía propia, Arranque en caliente, sistema Up Start, Sistema Hot Start.
La finalidad de un plan de seguridad es proporcionar un mapa que permita no sólo identificar las posibles debilidades y puntos a reforzar dentro de un espacio físico y lógico determinado, sino también proporciona la suficiente información sobre cómo abordar la solución de los mismos.
ResponderEliminarUn plan de continuidad del negocio tiene como finalidad garantizar la disponibilidad de los sistemas de cómputo aún en casos de emergencia y calamidad, que permitan que el negocio pueda seguir operando aún en condiciones adversas y con limitación de recursos.
La seguridad física identifica riesgos y permite tomar medidas para minimizar que se vea comprometida la integridad de los equipos, así como la información contenida en ellos.
Saul Delgado
092 04 1394
Un PSI es un plan de Seguridad de la información incluye todos los procesos y servicios involucrados en la administración de la seguridad de la Información, su finalidad es proteger la información y los activos de la organización tratando de conseguir confidencialidad, integridad y disponibilidad de los datos, en la cual debe de existir un responsable de cada servicio en la empresa.
ResponderEliminarEn una empresa es importante que exista siempre un Plan de Continuidad del Negocio, el cual es diseñado para reducir el riesgo de empresa ante una interrupción inesperada de sus funciones o de algún desastre que no este previsto.
Cuando hablamos de seguridad física nos referimos a todos aquellos mecanismos generalmente de prevención y detección-- destinados a proteger físicamente cualquier recurso del sistema; estos recursos son desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema, pasando por la propia CPU de la máquina.
Dependiendo del entorno y los sistemas a proteger esta seguridad será más o menos importante y restrictiva, aunque siempre deberemos tenerla en cuenta.
Patricia Ramírez
092-06-14021
En toda organización deberíamos contar con un plan de seguridad informática PSI. que busca la protección de los activos de la empresa, donde dentro de esos activos esta principalmente la información. Para todas las empresas lo principal es que la información sea confidencial, integra y que siempre esté disponible, he aquí la importancia de los PSI porque estas tres características son las principales en un PSI. Los PSI se enfocan en la evaluación de riesgos de seguridad a los que la información de la empresa se ve expuesta, asimismo busca proponer qué controles se deben colocar para reducir, eliminar o evitar los riesgos previamente identificados. Todo PSI debe contemplar políticas de seguridad, que serán las que regirán las actividades y las buenas prácticas dentro de la empresa para que todos los colaboradores de la empresa puedan también apoyar al resguardo de la información. Se debe considerar que cuando se implementan políticas y controles nuevos hay resistencia al cambio, pero en la búsqueda de la seguridad un PSI nos permite el desarrollo de normas y procedimientos, y también la oportunidad de analizar cambios o adaptaciones que cubren los riesgos existentes. Pero no solo el PSI deben poseer las empresas, también deben tomar en cuenta que existen los PCN que son los planes de continuidad del negocio. Que sucede si ocurre algo inesperado en la empresa, se va la luz, un desastre o algo similar? que deberíamos hacer en esos casos? Para esto es que existen los PCN, que es un proceso diseñado para reducir el riesgo de la empresa ante una interrupción inesperada de sus funciones/operaciones criticas, las cuales son necesarias para el funcionamiento de una empresa. Los PCN buscan contar con una estrategia y procedimientos para que la empresa se oriente a tener alternativas y como actuar en caso de siniestros, y brindarle una solución alternativa para restablecer los servicios de la organización. Incluida la seguridad física, la cual está formada de la seguridad física y lógica, física en el caso de protección y medidas de prevención físicos y lógicos por medio de políticas y la seguridad lógica por medio de herramientas, protocolos y aplicación de normas. Estar conscientes que estamos expuestos a ciertos riesgos nos lleva a identificar y evaluar los riesgos a sufrir como ataques y perdidas de datos, y compararlo con lo que nos repercutiria monetariamente o en tiempo. Así que a poner en marcha un plan de seguridad y análisis de riesgos y vulnerabilidades.
ResponderEliminarLucia Barrientos
092-04-1358
Un plan de seguridad informática, es un manual donde se definen los lineamientos de la planeación, el diseño e implantación de un modelo de seguridad con el objetivo de establecer una cultura de la seguridad en la organización.
ResponderEliminarEste Plan presenta las Políticas de Seguridad Informática cuyo contenido se agrupa en aspectos como la seguridad Lógica, Seguridad en las Comunicaciones, Seguridad de las Aplicaciones, Seguridad Física, seguridad ambiental,etc.
Un plan de seguridad debe de ayudarse con las políticas administrativas, políticas de control de acceso y políticas de flujo de información. El plan debe resolver interrogantes como cuáles son los recursos de información relacionados con los procesos críticos del negocio de la organización y cuál es el período de tiempo máximo que el negocio puede soportar sin que esos recursos funcionen antes de que se experimenten pérdidas significativas o inaceptables para la supervivencia del negocio Por regla general, este tipo de planes se desarrollan de forma distinta para cada organización, según la dependencia y actividad de cada una.
Edson Paredes
092-05-2632
Un Sistema de Seguridad Informática es un conjunto de medios administrativos, medios técnicos y personal que de manera interrelacionada garantizan niveles de seguridad informática en correspondencia con la importancia de los bienes a proteger y los riesgos estimados.
ResponderEliminarEl Plan de Seguridad Informática es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo.
Durante el proceso de diseño de un Sistema de Seguridad Informática se distinguen tres etapas:
1) Determinar las necesidades de protección del sistema informático objeto de análisis, que incluye:
Caracterización del sistema informático.
Identificación de las amenazas y estimación de los riesgos.
Evaluación del estado actual de la seguridad.
2) Definir e implementar el sistema de seguridad que garantice minimizar los riesgos identificados en la primera etapa.
Definir las políticas de seguridad.
Definir las medidas y procedimientos a implementar.
3) Evaluar el sistema de seguridad diseñado.
Hugo LIma 092-93-33882
El plan de seguridad es un documento que tiene un valor muy alto para las empresas, debido a que en el están todas las directrices para poder implementar una red segura. Cuenta con todos los datos relacionados a la red como lo son:
ResponderEliminarDiseño, gráficas o planos de la distribución de la red, métodos que se utilizarán para minimizar el riesgo de sufrir un ataque, el detalle de la infraestructura, la topología de la red, el hardware y el tipo de cableado a utilizar, politicas de seguridad tanto para los administradores como al resto de los colaboradores de la empresa. Es de mucha importancia contar con un plan de seguridad ya que es una herramienta para minimizar los riesgos a los que esta expuesto una red los cuales pueden ser: Intrusión, pérdida de información, sabotaje, inoperatividad.
Carlos Alberto Archila Orozco 092-04-4286
El plan de seguridad de nuestra empresa es algo que debemos de tomar con mucha seriedad puesto que de alguna manera nos dará seguridad para poder trabajar con mayor confianza de que no está en riesgo la información que estamos manipulando, la mejor manera para realizar un plan es utilizar una metodología previamente establecida y también revisar las actualizaciones CERT para tratar de anticiparse a los nuevas amenazas que puedan llegar a causar algún tipo de daño a nuestro proyecto, al establecer esto debemos siempre tomar en cuenta el PCN, asegurando así la continuidad del negocio para que de ninguna manera este se frene y por lo tanto no se pierdan ningún tipo de ganancia que se pudiera generar en el tiempo que no estaría funcionando el mismo, también nuestro plan de contingencia debe de ser lo más realista posible y abarcar la mayor cantidad de precauciones posibles, por supuesto que esto no solo tiene que estar concentrado en propiamente en lo informático sino que también en la parte física y lógica que no comprende la informática, y tenemos que evaluar esto de la mejor manera viendo siempre el impacto que pudiera llegar a tener en las actividades para la organización que será elaborado el plan de seguridad que debe de ser lo más grande posible para así tener un plan de seguridad general y dentro del varios específicos para las distintas áreas y actividades que se llevaran a cabo en el lugar para el cual se diseñará el mencionado plan
ResponderEliminarFernando Molina 092-03-12433
La definición de procedimientos y políticas de administración de la seguridad han tomado auge durante estos últimos años. Un plan de seguridad informática es un documento es utilizado para la evaluación de los riesgos de acuerdo a un análisis GAP para identificar brechas de seguridad que deben ser reducidas. Una vez identificadas las brechas, se busca la reducción de estas proponiendo políticas de seguridad tanto lógicas como físicas. Las políticas de seguridad lógica se enfocan principalmente en la forma de administrar las configuraciones de los equipos que permiten a los usuarios acceder a la organización de la empresa. Estas políticas están enfocadas en forzar la seguridad a nivel de parametrizaciones y configuraciones, esto como ejemplo, políticas que permitan definir mecanismos de autenticación integrada, definición de password y los tiempos en que estos serán cambiados. La seguridad física, se enfoca en la forma como se van a administrar los activos de la empresa y como estos van a ser resguardado y accedido, permitiendo tener dispositivos o mecanismos de autenticación para acceder a ubicaciones físicas que se encuentran cerradas y seguras mediante por ejemplo: El cuarto de servidores con lector biométrico y password para poder ingresar. El uso de garitas de seguridad para verificar el ingreso y egreso de equipos de desde y hacia la empresa. Este plan también busca la forma de hacer evolucionar a la empresa mediante estas políticas, con este se trata de concientizar tanto a los administradores de la empresa como a los usuarios dado que son factores importantes en el éxito de un plan de seguridad.
ResponderEliminarPor otro lado un plan de continuidad del negocio busca mecanismos y procedimientos para que si en algún momento existe un desastre, se tiene planificado la forma en que se hará que la empresa continúe trabajando, como por ejemplo: Si existiera un terremoto, quien inicia el plan de continuidad del negocio mediante una llamada de acuerdo a los procedimientos establecidos, en la que los integrantes de dicho plan, seguirán instrucciones precisas para restaurar Backups, sitios alternos en donde trabajar e incluso personal secundario con el cual se podrá contar. Este es otro plan que no debe de faltar en una empresa con servicios críticos.
Jorge Roberto Morales Avila
092-04-1623
Un PSI incluye procesos/servicios involucrados en la administración que considera los impulsadores de seguridad de información de una organización para determinar el alcance y enfoque de los procesos involucrados en administración de la seguridad, ya que la finalidad del PSI es proteger la información y los activos de la organización, esto para tratar de conseguir confidencialidad, integridad y disponibilidad de los datos, siempre y cuando se responsabilice a cada empleado mientras permanezcan en la organización. Uno de los alcances del desarrollo de un PSI es la evaluación de riesgos de seguridad a los que esta expuesta la información, seleccionando los controles y objetivos de control para reducir, eliminar o evitar los riesgos identificados, indicando las razones de exclusión o inclusión, Permitiendo conseguir el compromiso de la institución, agudeza técnica para establecer las fallas y deficiencias, para renovar y actualizar las políticas en función de un ambiente dinámico. Una de las recomendaciones mejor acertadas es la implementación de Planes de Contingencias, que es un instrumento sistematizado, que facilita y orienta la consecución de una solución alternativa que permita restablecer rápidamente los servicios de la organización.
ResponderEliminarUn Plan de Seguridad Informático (PSI) es la descripción de los controles de seguridad que deben ser implementados, de forma que permita la interpretación clara y precisa de las políticas, medidas y procedimientos que se definan en la misma, con el objetivo de alcanzar niveles aceptables de seguridad, todo esto con el fin de proteger la información y los activos de la organización.
ResponderEliminarUn Plan de Continuidad de Negocio (PCN) tiene como objetivo el mantenimiento de servicios ante una situación anómala y procesos críticos, así como la reducción de impactos ante imprevistos de indisponibilidad o desastres para en un plazo razonable y con un coste limitado.
Este servicio está orientado a la obtención de un plan global que garantice la cobertura técnica y organizativa adecuada de las áreas críticas de negocio.
La seguridad física es y ha sido un aspecto muy importante para las empresas asegurar que sus activos estén protegidos. Siempre que se habla de seguridad lógica o física está en peligro la disponibilidad, confidencialidad e integridad de la información sino se cuenta con los medios necesarios para revenir el acceso físico no autorizado, además de evitar daños o robo a los activos de la organización.
La seguridad física identifica las amenazas, vulnerabilidades y las medidas que pueden ser utilizadas para proteger físicamente los recursos y la información de la organización.
Rosangela Díaz
092-02-11135
Toda empresa debe contar con un plan de seguridad y un plan de continuidad del negocio, ya que de los mismos depende el éxito la misma.
ResponderEliminarUn buen plan de seguridad asesorado e implementado por expertos, es garantía de que nuestra información está bien protegida, contar con los elementos que provean la seguridad, tanto físicos o perimetrales: muro perimetral, garitas, salida de emergencia, electricidad, contención etc, como lógicos: políticas, normas, procedimientos, firewall, ips, antivirus etc.
Además se debe tener un buen plan de continuidad, el cual incluya elementos que nos permitan seguir operando, y mejor si se tiene alta disponibilidad en el plan, y políticas de pruebas de los mismos, como en el caso de los backups, que se tenga una política de copias de respaldo, que incluya las pruebas de las mismas mensualmente por lo menos para que se tenga certeza de que se guarda información fiable y recuperable.
Los tipos de política de la DSI y el PCN Plan de continuidad del negocio deben considerarse con una alta importancia en el resguardo de la información de la compañía, la mejor manera para realizar un plan es utilizar una metodología previamente establecida y también revisar las actualizaciones CERT y considerar las diferentes actividades y áreas a las que dará cobertura el plan de seguridad informática.
ResponderEliminarActualmente existen muchas herramientas de seguridad eficaces que permiten obtener un adecuado nivel de seguridad ante intrusos no autorizadas haciendo que la labor de los atacantes se transforme en un camino difícil de recorrer.
Así mismo la educación al usuario es importante porque el recurso humano es representa la amenaza más importante contra la seguridad informática.
Algunos mecanismos que impidan la instalación de programas por parte del personal, inhabilitación de puertos USB y prohibición del uso de dispositivos de almacenamiento extraíbles para evitar la fuga de información e ingreso de virus son medidas de seguridad física que garantizará la Integridad, Confidencialidad y Disponibilidad, la primera que garantiza que los datos sean los que se supone que son, la segunda asegura que sólo los individuos autorizados tengan acceso a los recursos que se intercambian, la tercera garantiza el correcto funcionamiento de los sistemas de información.
En conclusión la seguridad informática supone políticas, planes y acciones que en conjunto con la tecnología disponible prevé potenciales riesgos, y la forma en que se reaccionará a las amenazas que atentan a la continuidad del servicio de toda compañía.
Heber J. Buenafé Chinchilla 1092058802