Gestion de Seguridad Informatica wiki wiki PDF

Preview

Summary

Gestion de Seguridad Informatica actividad evaluativa del eje correspondiente al año 2020 para el primer periodo de ese año con el fin de aumentar conocimientos....

Description

SGSI (INFORMATION SECURITY MANAGEMENT SYSTEM, ISMS)

Angie Lizeth Araque Mora Edison Alberto Castañeda Serna Camilo Andrés Fernández Pinzón

Grupo 62

Fundación Universitaria Del Área Andina Ingeniera De Sistemas Sistemas de gestión de seguridad Bogotá 2021

1

Tabla de contenido

1.

Introducción ................................................................................................................. 3

2.

Objetivos...................................................................................................................... 3

3.

Taller ............................................................................................................................ 4

4.

Conclusiones.............................................................................................................. 16

5.

Bibliografía ................................................................................................................ 17

2

1. Introducción En el presente trabajo se podrá ver las diferentes topologías de cada integrante y sus diferentes riesgos, cada una de estas representa las diferentes áreas de trabajo. Por medio de esto podemos analizar la importancia de verificar minuciosamente cada error que tenga nuestra topología debido a que esto puede ser vulnerable para ataques de ciberseguridad. La importancia de la identificación del riesgo es determinar el cómo, donde, y porque podría ocurrir está perdida. Una guía práctica para el análisis de riesgo es: Guía 7 del ministerio de TIC. Las empresas están expuestas a diversos factores que afectan su operatividad, funcionalidad, y continuidad en el mercado. Estos factores externos o internos pueden llegar a causar el cierre definitivo de la compañía. Como miembros del departamento de TI debemos apuntar a generar planes de acción que mitiguen o minimicen los efectos de los factores que ataque la compañía, garantizado un plan de continuidad que apalanque la gestión del negocio. 2. Objetivos Poner en práctica los conocimientos adquiridos, detectando riesgos, amenazas, vulnerabilidades y generando un plan de gestión del negocio.

3

3. Taller Angie Lizeth Araque Mora

4

5

Riesgos de seguridad informática: Riesgo Hardware



Mantenimiento insuficiente: Incumplimiento del mantenimiento de los equipos Actividades de mitigación: -Plan de mantenimiento mensual. – Control y seguimiento al mantenimiento.



Almacenamiento sin protección: hurto fácil de documentos. Actividad de mitigación: -Medidas de protección de almacenamiento de documentos.



Susceptibilidad a la humedad, el polvo y la suciedad: Polvo, corrosión y congelamiento. Actividad de mitigación: -Control de aseo. –Traslado a otra instalación.

Riesgo Software



Ausencia de “terminación de sesión” cuando se abandona el trabajo: abuso de derechos. Actividad de mitigación: -Cada vez que renuncia alguien es necesario cambiar claves y de ser posible cerrar usuarios. -Verificar que la persona que sale no tenga información de interés para la empresa y que en un futuro la pueda perjudicar.



Interfaz de usuario compleja: En el momento que el usuario ingresa a la plataforma, el sistema es complejo de entender, y al intentar realizar varias acciones puede bloquear el sistema.

6

Actividad de mitigación: -Capacitación usuario. -Mejora de interfaz con el fin de que sea de un fácil uso para los diferentes usuarios. Riesgo Red:



Arquitectura insegura de la red: En el momento de implementar una arquitectura de red insegura y con altos índices de vulnerabilidad puede causar espionajes remotos. Actividad de mitigación: Analizar la tolerancia a fallos e implementar una segmentación adecuada que minimicen las vulnerabilidades y el factor de exposición



Tráfico sensible sin protección: No cuenta con altos índices de protección, Actividad de mitigación: iniciar a verificar que protecciones son adecuadas y le hacen falta.



Uso incorrecto de software y hardware: Cuando llega personal nuevo o no autorizado, y realiza una manipulación inadecuada al sistema o los diferentes medios magnéticos y realiza algún daño. Actividad de mitigación: Inducción y pruebas de manejos en las diferentes áreas.



Uso inadecuado o descuidado del control de acceso físico a las edificaciones y los recintos: acceso fácil por parte del personal no autorizado Actividad de mitigación: Tomar las diferentes medidas para que estos lugares sean de difícil acceso al personal no autorizado, como letreros o personal controlando el ingreso.

7

Edison Alberto Castañeda Serna

8



Perdida Suministro de energía: tener sistemas de suministro alterno como UPS y planta eléctrica con el fin de soportar y mantener el flujo de energía y la operación.



Mal funcionamiento del software: Mantener al día los parches de seguridad sugeridos por el proveedor del sistema operativo.



Uso de Software falso o copiado: Verificar el uso de software licenciado, realizar auditorías y control en las compras de los diferentes equipos.



Destrucción de equipos o medios: Crear políticas de mantenimiento y actualización de equipos de cómputo para realizar en un periodo determinado.



Manipulación de software: Controlar la descarga e instalación de software por parte del usuario final, implementación de GPO.



Fallas del equipo de telecomunicaciones: Garantizar el cumplimiento de normas de cableado estructurado en la compañía, el estado de los cables, las conexiones y hacer continuo mantenimiento de la red.



Uso incorrecto del software y Hardware: Capacitación del personal (empleados) para el debido uso de los sistemas de la compañía, implementación de políticas de buenas prácticas.

9



Hurtos Medios o Documentos: Implementación de políticas de seguridad, utilizar sistemas de almacenamiento como FileServer e implementar políticas de backup de la información.



Espionaje Remoto: Implementar políticas de seguridad, políticas de contraseñas y medios seguros para la red como seguridad perimetral, utilización de Fortinet o pfsense.



Uso no autorizado del equipo: Los equipos de cómputo deben permanecer bloqueados para evitar que personal no autorizado haga uso de ellos.

Camilo Andrés Fernández Pinzón

10

11

12

Riesgos de seguridad y actividades de mitigación del impacto 1. Líneas de comunicación sin protección Mantener Vlan para evitar comunicación con áreas sensibles e implementar uso de VPN para asegurar que la comunicación en la red sea privada en todo momento. 2. Tráfico sensible sin protección Implementar uso de cifrado para tráfico sensible y DLP para evitar perdida y fuga de la información. 3. Arquitectura insegura de la red Estudio y rediseño de la red incluyendo protecciones más eficientes como servidor proxy y firewall a la red.

13

4. Ausencia de mecanismos de monitoreo Disponer de herramientas de monitoreos como OpManager Plus nos permite contar con una infraestructura TI asegurada. 5. Ausencia de políticas sobre el uso de correo electrónico Administrar permisos sobre correo de acuerdo a cargo o necesidad de cada usuario y contar con bitácoras de control con registro de cada funcionario y permisos sobre correo 6. Ausencia de copias de respaldo Contar con file server y actividades de disponibilidad periódica para aplicar backup a información crítica. 7. Copia no controlada Implementación de directriz donde solo personal autorizado realice copias de información y bloqueo de puertos por GPO a cada equipo de la organización. 8. Ausencia de los procesos disciplinarios definidos en caso de incidentes de seguridad de la información Considerar la creación de reglamento de seguridad, sobre las malas prácticas en el uso de los recursos de la empresa y sus consecuencias. 9. Ausencia de “terminación de sesión” cuando se abandona la estación de trabajo

14

Capacitación del personal de empresa sobre cómo evitar fuga de información e implementación de bloqueo de sesión por GPO después de cierto tiempo. 10. Ausencia de esquemas de reemplazo periódico Monitoreo contante de equipos por parte del área TI e implementación de bitácoras de registro de cada una de las maquinas.

15

4. Conclusiones Es importante que las compañías implementen diferentes sistemas de seguridad y realicen capacitaciones a los empleados, sabemos que muchos de los riesgos son presentados por desconocimiento tanto de los usuarios finales como de los administradores de TI. Día tras día la tecnología nos brinda mejores alternativas para mantener un ambiente sano y controlar las diferentes amenazas que se pueden presentar con el pasar del tiempo, es importante aclarar que algunos riesgos son producidos por eventos de origen natural y es imposible controlar que no ocurran como inundaciones o descargas eléctricas, pero si podemos tener un plan de acción para minimizar el impacto cuando ocurra una de estas situaciones. Se logra concluir luego de realizar la actividad propuesta para el eje 3, que en el día a día la tecnología en sus distintas aplicaciones ya se considera imprescindible para la sociedad, así mismo también ha sido utilizada con otros fines con malas intenciones que pueden llegar a afectar grandes empresas económicamente, por lo tanto toda empresa ya sea una pyme como una multinacional, siempre debe estar dispuesta a supervisión, auditoria y mejora constante en la seguridad de sus sistemas informáticos analizando los riesgos y determinando actividades de mitigación constantes, pues de las vulnerabilidades que se dejen al descubierto es de donde los ciberdelincuentes aprovechan para el robo de información crítica y con ello llegar a la extorción.

16

5. Bibliografía Guía de Gestión del Riesgo. Seguridad y privacidad de la información Guía N° 7. Referido de: https://gobiernodigital.mintic.gov.co/692/articles-5482_G7_Gestion_Riesgos.pdf Sistema de Gestión de la Seguridad Informática. Ricardo A. López. (2017). Referido de: https://digitk.areandina.edu.co/bitstream/handle/areandina/1238/Sistema%20de%20Gesti% C3%B3n%20de%20la%20Seguridad%20Inform%C3%A1tica.pdf?sequence=1&isAllowed =y. Sistema de gestión y seguridad informática. Ricardo López. Referido de: https://areandina.instructure.com/courses/19315

17...