Taller 1 - practica sobre situaciones que se presenta en la seguridad informatica PDF

Preview

Summary

Universidad Tecnológica de PanamáFacultad de Ingeniería de Sistemas ComputacionalesCarrera: Ingeniería de Sistemas y ComputaciónAsignaturaSeguridad en tecnología de ComputaciónProfesoraOmaira RuilobaTaller 1: Caso de estudioLa difícil tarea de la seguridad informáticaGrupo1IL-2019DESARROLLO ¿Juan de...

Description

Universidad Tecnológica de Panamá Facultad de Ingeniería de Sistemas Computacionales Carrera: Ingeniería de Sistemas y Computación

Asignatura Seguridad en tecnología de Computación

Profesora Omaira Ruiloba

Taller 1: Caso de estudio La difícil tarea de la seguridad informática

Grupo 1IL-151

2019

DESARROLLO 1. ¿Juan deberá esperar que suceda otro incidente de seguridad para que aprueben nuevas inversiones? Debido a los potenciales y/o constantes ataques que existen y existirán en la seguridad informática, es evidente que el tomar decisiones en lapsos de tiempo prolongados es un riesgo que una empresa no debe correr en la actualidad. Parte de este principio recae en varios puntos de los cuales se pueden mencionar los fallos permanentes ya sea en los equipos, inestabilidad en los sistemas actuales en uso, la substracción y modificación de datos importantes, por mencionar algunos elementos relacionados a la infraestructura informatica. No obstante, existe la posibilidad de fraude y pérdida financiera como consecuencia de las anteriores. Implicando una inversión de recuperación considerable y en ocasiones por encima de los fondos totales que sostienen una empresa. Cabe resaltar también, que gran parte de una situación de esta naturaleza recae sobre la propia imagen de la empresa creando inconformidad, inseguridad y distanciamiento con los usuarios y otras organizaciones. Por lo que, al considerar estos aspectos de entre muchos otros Juan no debería esperar a que algún otro incidente ocurra. 2. ¿Quién tiene la responsabilidad de definir qué información es crítica y sensible y definir sus accesos? Esto recae en la dirección administrativa de la empresa en la que se manejan políticas sobre la seguridad, prevención de riesgos y protección de la información. Manejando el control de acceso a los datos para implementar, registrar, controlar y garantizar la seguridad de los mismos. Aunque en otros casos es directamente en gerencia donde se toma control de muchas áreas y por ende debe asumir estas decisiones. 3. ¿Quién es realmente el dueño de los datos? Enfocado al manejo de estos dentro de la empresa todas las áreas que la integran son dueños de los datos por igual. Cada una tiene que relacionarse con estos de diversas maneras, para cumplir un rol particular. No obstante en un sentido generalizado nadie es dueño de los datos, si bien la empresa puede ser propietario de estos por medio de lo que conocemos como big-data no pueden modificarlos o manipulados sin consentimiento de la persona. De igual manera, no se pude decir que una persona es dueña puesto que es algo abstracto relacionado con su identidad. Esto último es lo que realmente importa y lo que comprende el valor, la privacidad, individualidad y dignidad de un usuario y que se debe tener siempre presente como aspecto primordial en el uso que se les dé a los datos.

4. ¿Debería permitir el uso libre de internet? Pienso que si se debería permitir el acceso libre a Internet ya que los filtros de Internet no siempre son tan exactos y bloquean páginas de utilidad, quizás hay algún recurso útil para los colaboradores de la empresa al que no se puede acceder debido a estas restricciones. 5. ¿Bajo qué condiciones? Se podría instalar un software de monitorización de red, para fiscalizar el uso correcto del Internet de la empresa, también se podrían instalar Firewalls y antivirus que protejan a la empresa de cualquier amenaza, aunado a esto se debe capacitar a todos los colaboradores de la empresa sobre el uso responsable de internet y los riesgos que conlleva no obedecer ciertas políticas de seguridad que se deben establecer por parte de la empresa, en caso tal de que algún colaborador no cumpla con estas normas se le podría aplicar una sanción.

6. ¿Debería volver atrás con la desinstalación de los programas? La respuesta es que no debería volver a instalar dichos programas, ya que representan un grave peligro contra la seguridad de la empresa. No debería volver a instalarlos primero porque si se utilizan software pirata corres el riesgo de una demanda por parte de la empresa que es dueña del programa. Otro gran riesgo de usar software pirata de forma ilegal en tu empresa es tu propia seguridad. Este tipo de programas cuyo origen no es el propio fabricante pueden incluir virus, troyanos o software espía que suponga un perjuicio grave para la seguridad de tu negocio. Otro factor es que utilizar software pirata genera desconfianza, Cualquier persona que entre en tu empresa y descubra que trabajas con programas pirata, desconfiará de ti. Tampoco tienes acceso a actualizaciones, cuando trabajas con un software pirata, no puedes actualizarlo con las últimas modificaciones porque eso te obligaría a registrar el programa. Al no poder actualizar el programa, tu software se quedará obsoleto en poco tiempo y no incluirá las mejoras de seguridad o nuevas propuestas que te ayudarán a trabajar en mejores condiciones.

7. ¿Cómo debe hacer frente a todas las críticas? Juan como es el encargado y experto en lo que es el área de seguridad debería presentar todos los peligros a los que está expuesta la empresa por utilizar

software pirata. También debería argumentar que como es un lugar de trabajo no se deberían instalar programas que no estén relacionados con el mismo y que esa es una de las razones secundarias del porque bloqueo la instalación de ciertos programas, claramente sabiendo que la principal razón es por motivos de seguridad (motivos mencionados en la pregunta anterior).

8. ¿Debería permitir el uso de medios removibles? No, este tipo de prácticas pueden tener consecuencias indeseadas si no se toman las medidas de seguridad adecuadas. Por ejemplo, se puede infectar la red corporativa a través de un USB que contenga algún tipo de malware. Los riesgos principales a los que exponemos nuestros dispositivos son el extravío, el acceso a la información contenida por personas no autorizadas, o la infección por virus. Cada organización, debería disponer de una política de uso de dispositivos de almacenamiento externo, conocida por todos los empleados, que indique cuestiones sobre si su uso está o no permitido, y en caso de que sí esté permitido, que tipo de información puede y no almacenarse en ellos. También se deberían tomar algunas prevenciones para evitar algún tipo de daño si se llega a utilizar dispositivos removibles, como las siguientes: Cifrar los datos que son grabados.   

Establecer políticas de cambios periódicos de contraseña de acceso al dispositivo. Controlar los permisos de lectura. Evitar que dispositivos que no estén registrados puedan conectarse a cualquier equipo de la organización.

9. ¿Cómo debería capacitar a los empleados en este aspecto? En este aspecto pienso que se debería dar un taller / capacitación a los usuarios para que se les explique las vulnerabilidades que se requiere proteger debido a dar sus contraseñas a cualquier individuo y el porqué del uso de las mismas. 10. ¿De quién es la responsabilidad de la confidencialidad de las claves? La responsabilidad recae en los usuarios que son los principales encargados de su privacidad y de la confidencialidad de sus datos y de la empresa. 11. ¿Qué debería definir este equilibrio?

El equilibrio se debería definir por área o departamento esto sería la forma correcta debido a que cada colaborador atiende a un jefe o reglas de departamento. 12. ¿Qué organismo, área, unidad organizativa se debe crear? Se debe crear una unidad que maneje lo que son las cláusulas de confidencialidad, contraseñas en general, uso de software y accesos al BD. 13. ¿Qué nivel de jerarquía debería tener? El área de seguridad informática definitivamente debería estar entre unas de las principales ramas o jerarquías en una empresa, este aspecto en una empresa es de vital importancia para prevenir daños que afecten directamente a la empresa. Algunas empresas hacen depender seguridad de la información también del área de sistemas o tecnología, lo cual limita mucho el alcance y la capacidad operativa de la misma. La aproximación más abarcativa supone que podría existir una dependencia directa de la gerencia general, es decir, que exista una gerencia o dirección de seguridad de la información. De esta forma, se le daría una importancia mayor y se pondría de manifiesto el compromiso con la seguridad en la compañía. Esta última opción permitiría además generar mejores interrelaciones entre los distintos sectores, y facilitaría la operatoria de las tareas de seguridad, así como también las acciones estratégicas.

CONSIDERACIONES FINALES 



  

Es necesario implementar medidas preventivas y un análisis del estado actual de los sistemas y equipos para tomar ventaja en caso de enfrentar una situación de riesgo. De manera que el impacto sea mínimo o nulo. Se deben realizar consensos de entre los grupos enfocados a implementar medidas de seguridad de una manera más continua. Tratar de estar al tanto de las novedades que se presenten en el día a día. Considerar las repercusiones en la toma de decisiones apresuradas, puesto que no siempre aminoran las afectaciones sino que pueden añadir otras. Utilizar medidas de protección de los datos que estén impidan la intromisión de software, dispositivos y entidades intrusas. Como factor primordial, las empresas deberían tener un área dedicada a la seguridad informática jerarquizándolas como una de suma importancia y no como una sub-área poco representativa....