Seguridad informática basado en las normas y estandares internacionales COBIT e ISO 17799

Introducción

La Informática hoy, está sumida en la
gestión integral y por eso las normas y estándares
propiamente informáticos deben estar incluidos en la
misma. En consecuencia, las organizaciones informáticas
forman parte de lo que se ha denominado el "management", la
Informática no gestiona propiamente ayuda a la toma de
decisiones, pero no decide por sí misma. Por ello, debido
a su importancia en el funcionamiento de la unp, existe la
Auditoría Informática, interesada en la
revisión de la adecuacidad y confiabilidad de los sistemas
de información, de gerencia y/o dirección y de los
procedimientos operativos.

La seguridad informática ha tomado especial
relevancia, dadas las cambiantes condiciones y nuevas plataformas
de computación disponibles. La posibilidad de
interconectarse a través de redes, ha abierto nuevos
horizontes para explorar más allá de las fronteras
nacionales, situación que ha llevado la aparición
de nuevas amenazas en las tecnologías de
información.

Así mismo las tecnologías de la
información actualmente son elementos fundamentales para
la superación y desarrollo de un país, la
información que en ellas se maneja es considerada un
activo cada vez más valioso el cual puede hacer que una
organización triunfe o quiebre, es por eso que debemos
brindarle seguridad.

Esto ha provocado que muchas organizaciones
gubernamentales y no gubernamentales, alrededor del mundo, hayan
desarrollado documentos y directrices que orientan a sus usuarios
en el uso adecuado de herramientas tecnológicas y
recomendaciones para obtener el mayor provecho de estas y evitar
el uso indebido de la mismas, lo cual puede ocasionar serios
problemas en los bienes y servicios que prestan las
instituciones.

De ahí que el Objetivo General de la
investigación sea: Proponer un modelo de Plan
estratégico de seguridad informática para la
Universidad Nacional de Piura.

Problema de
investigación

• DESCRIPCIÓN DEL PROBLEMA

La mayoría de casos se desconoce la magnitud del
problema con el que se enfrentan, en la actualidad existen, como
lo son: las amenazas internas, una de ellas los errores humanos y
las amenazas externas dentro de las cuales podemos nombrar a los
virus.

En el CIT por falta de inversión como
económico es muy necesario para prevenir principalmente el
daño o pérdida de la información produce que
la información no sea confiable ni integra y mucho menos
disponible para la unp originando así en muchos de los
casos la paralización de sus actividades dejando como
resultado una pérdida cuantiosa de tiempo de
producción y dinero.

Las amenazas que afectan las características
principales de la seguridad como son la confidencialidad,
integridad y disponibilidad de la información pueden ser
internas o externas, originadas accidentalmente o con un fin
perverso dejando a la unp con problemas como por ejemplo la
paralización de sus actividades.

• FORMULACIÓN DEL PROBLEMA

¿Cómo obtener la seguridad en
el CIT utilizando los objetivos estratégicos orientados a
la seguridad informática de la Universidad Nacional de
Piura?

Justificación e importancia de la
investigación

• JUSTIFICACIÓN

En vista que en la actualidad son muchos los riesgos que
afectan la seguridad de la unp y por lo general el capital con el
que se cuenta para protegerlas no es suficiente, se debe tener
identificadas y controladas esas vulnerabilidades y esto se logra
con un adecuado plan de seguridad elaborado en base a un
análisis de riesgo previo.

Así se busca la seguridad informática
mediante mecanismos y procedimientos que deberá adoptar
para salvaguardar sus recursos informáticos, ya que
teniendo en cuenta lo antes expuesto resultaría
interesante proponer un modelo de plan estratégico para la
seguridad informática de la Universidad Nacional de Piura
que le permita realizar una revisión y evaluación,
con el propósito de dar un dictamen final sobre
alternativas para el mejoramiento y administración eficaz
de los recursos informáticos.

• IMPORTANCIA

En este nuevo futuro, es imprescindible que la unp se
preparen no sólo para prevenir el peligro de comprometer
sus operaciones de negocio por una falla de seguridad, sino
también que se preparen en establecer medidas que permitan
reducir los problemas de seguridad que pueden surgir, mediante un
plan estratégico que deben ser ejecutado considerando las
características del negocio, la organización, su
ubicación, sus activos y tecnología que posee la
unp.

• OBJETIVOS

• OBJETIVO GENERAL

• modelo de Plan estratégico de seguridad
  informática para la Universidad Nacional de
  Piura.

• OBJETIVOS ESPECIFICOS

• Conocer como está conformada la
  unp.

• Identificar las causas de los riesgos potenciales a
  los que está expuesta la organización en cuanto
  a la tecnología que posee.

• Determinar los controles existentes, para así
  proponer mejoras en la seguridad de la unp.

• Analizar los riesgos de seguridad y proponer
  posibles alterativas de solución.

• la seguridad informática que podría
  adoptar la Institución para salvaguardar sus recursos
  informáticos, basadas en las normas y
  estándares de seguridad informática como son
  COBIT e ISO 17799.

Marco
teórico

• MARCO REFERENCIAL

"Definir un Plan Estratégico de Seguridad de
Información en una empresa del sector comercial"
perteneciente a María Gabriela Hernández Pinto
(Ecuador, Marzo de 2006), se presenta un plan estratégico
que puede ser aplicado por entidades dedicadas a cualquier tipo
de actividad comercial que se proponga llevarlo a
cabo.

"Plan de seguridad informática" perteneciente a
María Dolores Ceriniy Pablo Ignacio Prá
(Córdova, Octubre 2002), se presenta la realización
de un Plan de Seguridad Informática para La Empresa S.A.,
en donde se definen los lineamientos para promover la
planeación, el diseño e implantación de un
modelo de seguridad en la misma con el fin de establecer una
cultura de la seguridad en la organización. Asimismo, la
obliga a redactar sus propios procedimientos de seguridad, los
cuales deben estar enmarcados por este plan.

"Planificación estratégica y plan de
seguridad Informática de fabril fameS.A." perteneciente a
José Luis Rojas Urgilés y Juan José Vela
Veintimilla(Sangolquí, noviembre 2011), se presenta la
planificación estratégica y plan de seguridad
informática para el departamento de sistemas de dicha
empresa para proteger los recursos informáticos y asegurar
la viabilidad de las operaciones.

• MARCO CONCEPTUAL

Para el desarrollo de esta investigación es
fundamental conocer ciertos términos que serán
usados para su desarrollo.

• Información: Conjunto de datos propios
  que se gestionan y mensajes que se intercambian personas y/o
  máquinas dentro de una organización. La
  información da las pruebas de la calidad y
  circunstancias en las que se encuentra la empresa.

• Factores de riesgos: Manifestaciones o
  características medibles u observables de un proceso
  que indican la presencia de riesgo atienden a aumentar la
  exposición, pueden ser interna o externa a la
  entidad.

• Impacto: Es la medición y
  valoración del daño que podría producir
  a la empresa un incidente de seguridad. La valoración
  global se obtendrá sumando el coste de
  reposición de los daños tangibles y la
  estimación, siempre subjetiva, de los daños
  intangibles.

• Amenaza: Cualquier evento que pueda provocar
  daño a la información, produciendo a la empresa
  pérdidas materiales, financieras o de otro
  tipo.

• Riesgo: Proximidad o posibilidad de un
  daño, peligro, etc. Cada uno delos imprevistos, hechos
  desafortunados, etc., que puede cubrir un seguro.

• Incidente de seguridad: Cualquier evento que
  tenga, o pueda tener, como resultado la interrupción
  de los servicios suministrados por un Sistema de
  Información y/o pérdidas físicas, de
  activos o financieras. En otras palabras la
  materialización de una amenaza.

• Seguridad informática: Abarca los
  conceptos de seguridad física y seguridad
  lógica. Se le puede dividir como Área General y
  como Área Especifica (seguridad de Explotación,
  seguridad de las Aplicaciones, etc.).

• Seguridad física: Consiste en la
  aplicación de barreras físicas y procedimientos
  de control, como medidas de prevención ante amenazas a
  los recursos e información confidencial que puedan
  interrumpir procesamiento de información. Se refiere a
  la protección del Hardware y de los soportes de datos,
  así como a la de los edificios e instalaciones que los
  albergan. Contempla las situaciones de incendios, sabotajes,
  robos, catástrofes naturales, etc.

• Seguridad lógica: Consiste en la
  aplicación de barreras y procedimientos para mantener
  la seguridad en el uso de software, la protección de
  los datos, procesos y programas, así como la del
  acceso ordenado y autorizado de los usuarios a la
  información. Se refiere a la seguridad de uso del
  software, a la protección de los datos, procesos y
  programas, así como la del ordenado y autorizado
  acceso de los usuarios a la información.

• Seguridad de las redes: Es la capacidad de
  las redes para resistir, con un determinado nivel de
  confianza, todos los accidentes o acciones malintencionadas,
  que pongan en peligro la disponibilidad, autenticidad,
  integridad y confidencialidad de los datos almacenados o
  transmitidos y de los correspondientes servicios que dichas
  redes ofrecen o hacen accesibles y que son tan costosos como
  los ataques intencionados.

• Vulnerabilidad: Cualquier debilidad en los
  Sistemas de Información que pueda permitir a las
  amenazas causarles daños y producir
  pérdidas.

• Plan estratégico de seguridad
  informática: Basado en un conjunto de
  políticas de seguridad elaboradas previo a una
  evaluación de los riesgos que indicará el nivel
  de seguridad en el que se encuentre la empresa. Estas
  políticas deben ser elaboradas considerando las
  características del negocio, la organización,
  su ubicación, sus activos y tecnología que
  posee la empresa.

• COBIT: Es un marco de trabajo y un conjunto
  de herramientas de Gobierno de Tecnología de
  Información (TI) que permite a la Gerencia cerrar la
  brecha entre los requerimientos de control, aspectos
  técnicos y riesgos de negocios. COBIT habilita el
  desarrollo de políticas claras y buenas
  prácticas para el control de TI a lo largo de las
  organizaciones.

• ISO 17799: Estándar para la seguridad
  de la información, una guía de buenas
  prácticas de seguridad informática que presenta
  una extensa serie de controles de seguridad. Es la
  única norma que no sólo cubre la
  problemática de la IT sino que hace una
  aproximación holística a la seguridad de la
  información abarcando todas las funcionalidades de una
  organización en cuanto a que puedan ser afectadas por
  la seguridad informática.

• MARCO TEÓRICO

• ¿Qué es seguridad
  informática?

Seguridad trae consigo una ausencia de amenazas,
situación que en el mundo contemporáneo es muy
difícil de sostener, las sociedades actuales son
sociedades de riesgo. El componente riesgo es permanente y da
carácter propio de los estados y sociedades nacionales,
como tal la seguridad no puede ser entendida como ausencia de
amenazas.

La informática surge en la preocupación
del ser humano por encontrar maneras de realizar operaciones
matemáticas de forma cada vez más rápida y
fácilmente. Pronto se vio que con ayuda de aparatos y
máquinas las operaciones podían realizarse de forma
más eficiente, rápida y
automática.

• Definición de seguridad
  informática

La definición de seguridad informática
proviene entonces de los dos términos antes definidos. La
seguridad informática son técnicas desarrolladas
para proteger los equipos informáticos y la
información de daños accidentales o
intencionados.

• Objetivo de la seguridad informática

La seguridad informática tiene como principal
objetivo proteger el activo más importante que tiene la
empresa que es su información de los riesgos a los que
está expuesta. Para que la información sea
considerada confiable para la organización ya que sus
estrategias de negocio dependerán del almacenamiento,
procesamiento y presentación de la misma, esta
deberá cubrir los tres fundamentos básicos de
seguridad para la información que son:

• Confidencialidad: Se define como la capacidad
  de proporcionar acceso a usuarios autorizados, y negarlo a no
  autorizados.

• Integridad: Se define como la capacidad de
  garantizar que una información o mensaje no han sido
  manipulados.

• Disponibilidad: Se define como la capacidad
  de acceder a información o utilizar un servicio
  siempre que lo necesitemos.

La seguridad informática se preocupa de que la
información manejada por un computador no sea
dañada o alterada, que esté disponible y en
condiciones de ser procesada en cualquier momento y se mantenga
confidencial.

• Riesgos

Los riesgos se pueden definir como aquellas
eventualidades que imposibilitan el cumplimiento de un objetivo y
según la Organización Internacional por la
Normalización (ISO) define riesgo tecnológico como
"La probabilidad de que una amenaza se materialice, utilizando
vulnerabilidades existentes de un activo o un grupo de activos,
generándole perdidas o daños". Podemos concluir que
cualquier problema que afecte al total funcionamiento de la
empresa es considerado un riesgo o amenaza para la
entidad.

• Plan estratégico de seguridad
  informática

Un plan estratégico de seguridad
informática está basado en un conjunto de
políticas de seguridad elaboradas previo a una
evaluación de los riesgos que indicará el nivel de
seguridad en el que se encuentre la empresa. Estas
políticas deben ser elaboradas considerando las
características del negocio, la organización, su
ubicación, sus activos y tecnología que posee la
empresa.

• Evaluación de los riesgos

Proceso por el cual se identifican las vulnerabilidades
de la seguridad. El objetivo general de evaluar los riesgos
será identificar las causas de los riesgos potenciales, en
toda la organización, a parte de ella o a los sistemas de
información individuales, a componentes específicos
de sistemas o servicios donde sea factible y cuantificarlos para
que la Gerencia pueda tener información suficiente al
respecto y optar por el diseño e implantación de
los controles correspondientes a fin de minimizar los efectos de
las causas de los riesgos.

Los pasos para realizar una valoración de riesgos
se detallan a continuación:

• Identificar los riesgos:

En este paso se identifican los factores que introducen
una amenaza en la planificación del entorno
informático, existen formas de identificarlos
como:

• Cuestionarios de análisis de riesgos:
  La herramienta clave en la identificación de riesgos
  son los cuestionarios los mismos que están
  diseñados para guiar al administrador de riesgos para
  descubrir amenazas a través de una serie de preguntas
  y en algunas instancias, este instrumento está
  diseñado para incluir riesgos asegurables e
  in-asegurables.

• Listas de chequeo de exposiciones a riesgo:
  Una segunda ayuda importante en la identificación de
  riesgos y una de las más comunes herramientas en el
  análisis de riesgos son las listas de chequeo, las
  cuales son simplemente unas listas de exposiciones a
  riesgo.

• Listas de chequeo de políticas de
  seguridad: Esta herramienta incluye un catálogo de
  varias políticas de seguridad que un negocio dado
  puede necesitar. El administrador de riesgos consulta las
  políticas recolectadas y aplicadas a la
  firma.

• Sistemas expertos: Un sistema experto usado
  en la administración de riesgos incorpora los aspectos
  de las herramientas descritas anteriormente en una sola
  herramienta. La naturaleza integrada del programa permite al
  usuario generar propósitos escritos y
  prospectos.

• Análisis de los riesgos

Una vez se hayan identificado los riesgos, el paso
siguiente es analizarlos para determinar su impacto, tomando
así las posibles alternativas de
solución.

• Ponderación de los Factores de riesgo:
  Ponderar el factor de riesgo es darle un valor de importancia
  en términos porcentuales al mismo bajo los criterios
  de especialistas en el área informática que
  pueden identificar su impacto en la unp, teniendo en cuenta
  las posibilidades de que se puedan convertir en
  realidad.

• Valoración del riesgo: La
  valoración del riesgo envuelve la medición del
  potencial de las pérdidas y la probabilidad de la
  pérdida categorizando el orden de las
  prioridades.

• Riesgo alto: Todos las exposiciones a pérdida
  en las cuales la magnitud alcanza la bancarrota.

• Riesgo medio: Son exposiciones a pérdidas que
  no alcanzan la bancarrota, pero requieren una acción
  de la organización para continuar las
  operaciones.

• Riesgo bajo: Exposiciones a pérdidas que no
  causan un gran impacto financiero.

• Crear la matriz descriptiva: El objetivo de
  esta es la de asignar un valor a los recursos
  informáticos que posea la unp de acuerdo al impacto
  que el riesgo tenga sobre cada uno de ellos.

• Crear la matriz ponderada: Esta matriz tiene
  como objetivo el determinar la prioridad de riesgo que tiene
  cada recurso informático mediante la obtención
  de un resultado determinado por la sumatoria de de cada una
  de las multiplicaciones realizadas entre la
  ponderación de cada riesgo con la valoración de
  cada recurso informático.

• Crear la matriz categorizada: El objetivo de
  esta matriz es la de definir la categoría del riesgo
  (Alto, Medio y Bajo) para cada recurso informático.
  Para determinar qué recursos informáticos
  están dentro de cada categoría nos ayudamos de
  formulas básicas de estadística para encontrar
  el rango y tamaño de intervalo que dividirán
  las categorías. Para encontrar el rango tomamos el
  valor mayor de la columna total menos el valor menor. Este
  valor nos ayudará para definir el tamaño de
  intervalo, mediante la división del valor rango para
  la cantidad de categorías de riesgo que deseamos
  definir para nuestro análisis, dando a los valores
  altos la definición de "riesgo alto", a los valores
  medios "riesgo medio" y a los valores bajos "riesgos
  bajos".

• Objetivos estratégicos empleados en la
  seguridad:

La seguridad informática es aquella que fija los
lineamientos y procedimientos que deben adoptar la unp para
salvaguardar sus sistemas y la información que estos
contienen.

Si bien existen algunos modelos o estructuras para su
diseño, estás tienen que ser elaboradas de forma
personalizada para cada empresa para así recoger las
características propias que tiene la
organización.

Una buena política de seguridad corporativa debe
recoger, de forma global, la estrategia para proteger y mantener
la disponibilidad de los sistemas informáticos y de sus
recursos, es decir que estás políticas de seguridad
deben abarcar las siguientes áreas.

• Seguridad Física

• Seguridad Lógica

• Seguridad en redes

• Planes de Contingencia

• Seguridad Física

La seguridad física consiste en la
aplicación de barreras físicas y procedimientos de
control, como medidas de prevención ante amenazas a los
recursos e información confidencial que puedan interrumpir
el procesamiento de la información. Este tipo de seguridad
está enfocado a cubrir las amenazas ocasionadas tanto por
el hombre como por la naturaleza del medio físico en que
se encuentra ubicado el centro de cómputo.

Las principales amenazas que se prevén en la
seguridad física son:

• Desastres naturales, incendios accidentales
  tormentas e inundaciones.

• Amenazas ocasionadas por el hombre.

• Disturbios, sabotajes internos y externos
  deliberados.

• Otras amenazas como las fallas de energía
  eléctrica o las fallas de los equipos.

Los recursos que se deben proteger físicamente
van desde un simple teclado hasta un respaldo de toda la
información que hay en el sistema, pasando por la propia
máquina, igualmente se deben tener medidas de
protección contra las condiciones climáticas y
suministros de energía que pueden afectar la
disponibilidad de los sistemas de información e
interrumpir los procesos de la organización.

• Seguridad Lógica

La seguridad lógica consiste en la
aplicación de barreras y procedimientos para mantener la
seguridad en el uso de software, la protección de los
datos, procesos y programas, así como la del acceso
ordenado y autorizado de los usuarios a la
información.

Los objetivos de la seguridad lógica
buscan:

• Restringir el acceso a los programas y
  archivos.

• Asegurar que los operadores puedan trabajar sin una
  supervisión minuciosa y no puedan modificar los
  programas ni los archivos que no correspondan.

• Asegurar que se estén utilizados los datos,
  archivos y programas correctos en y por el procedimiento
  correcto.

• Que la información transmitida sea recibida
  sólo por el destinatario al cual ha sido enviada y no
  a otro.

• Que la información recibida sea la misma que
  ha sido transmitida.

• Que existan sistemas alternativos secundarios de
  transmisión entre diferentes puntos.

• Que se disponga de pasos alternativos de emergencia
  para la transmisión de información.

• Seguridad en Redes

Las redes en las empresas son los medios que permiten la
comunicación de diversos equipos y usuarios es así
que es prioridad en la empresa mantener su seguridad debido a la
información que por ellas se transmite como son los datos
de clientes, servicios contratados, reportes financieros y
administrativos, estrategias de mercado, etc.

La seguridad de las redes y la información puede
entenderse como la capacidad de las redes o de los sistemas de
información para resistir, con un determinado nivel de
confianza, todos los accidentes o acciones malintencionadas, que
pongan en peligro la disponibilidad, autenticidad, integridad y
confidencialidad de los datos almacenados o transmitidos y de los
correspondientes servicios que dichas redes y sistemas ofrecen o
hacen accesibles y que son tan costosos como los ataques
intencionados.

Dentro de la unp existen redes internas o intranet y las
redes externas o extranet que deben ser protegidas de acuerdo a
las amenazas a las que cada una está expuesta,
estableciendo mecanismos de seguridad contra los distintos
riesgos que pudieran atacarlas.

• Seguridad en la red interna o intranet

La red interna o intranet está formada por el
conjunto de computadoras interconectadas a través de un
servidor con la finalidad de compartir información y
recursos de forma eficiente y rápida dentro de la
organización.

El riesgo al que está frecuentemente expuesta
esta red es el que viene del uso inadecuado del sistema por parte
de los propios usuarios. Ya sea por mala fe o descuido un usuario
con demasiados privilegios puede destruir información. Las
medidas de seguridad que requiere la intranet para disminuir el
riesgo existente por parte de los usuarios que son quienes hacen
uso constante de la red son la descripción y las
contraseñas para validar usuarios.

• Seguridad en la red externa o extranet

La red externa más grande que existe es internet
y en la actualidad es desde donde se producen la gran
mayoría de ataques por parte de personas que tienen el
propósito de destruir o robar datos empresariales causando
pérdidas de dinero. La seguridad en internet es un
conjunto de procedimientos, prácticas y tecnologías
para proteger a los servidores y usuarios de esta red y las
organizaciones que los rodean. La seguridad es una
protección contra el comportamiento inesperado.

• Normas y/o Estándares Internacionales

Todo procedimiento informático debe estar apoyado
en estándares y/o normas referentes a tecnología de
información para que brinden la seguridad que la
organización necesita.

• COBIT (Objetivos de Control para Tecnología de
  Información y Tecnologías
  relacionadas)

COBIT, lanzado en 1996, es una herramienta de gobierno
de

TI que ha cambiado la forma en que trabajan los
profesionales de TI.

Vinculando tecnología informática y
prácticas de control; COBIT, basado en la filosofía
de que los recursos de TI, consolida y armoniza estándares
de fuentes globales prominentes en un recurso crítico para
la gerencia, los profesionales de control y los
auditores.

Se aplica a los sistemas de información de toda
la empresa, incluyendo las computadoras personales, mini
computadoras y ambientes distribuidos.

• Misión

COBIT investiga, desarrolla, publica y promueve un
conjunto internacional y actualizado de objetivos de control para
tecnología de información que sea de uso cotidiano
para gerentes y auditores.

• Usuarios

Los usuarios de COBIT son aquellos quienes desean
mejorar y garantizar la seguridad de sus sistemas bajo un
estricto método control de tecnología de
información como lo es COBIT:

• La gerencia: para apoyar sus decisiones de
  inversión en TI y control sobre el rendimiento de las
  mismas, analizar el costo beneficio del control.

• Los usuarios finales: quienes obtienen una
  garantía sobre la seguridad y el control de los
  productos que adquieren interna y externamente.

• Los auditores: para soportar sus opiniones sobre los
  controles de los proyectos de TI, su impacto en la
  organización y determinar el control mínimo
  requerido.

• Los responsables de TI: para identificar los
  controles que requieren en sus áreas.

• Características de COBIT

• Orientado al negocio.

• Alineado con estándares y regulaciones "de
  facto".

• Basado en una revisión crítica y
  analítica de las tareas y actividades en
  TI.

• Alineado con estándares de control y
  auditoria (COSO, IFAC, IIA, ISACA, AICPA).

• Principios de COBIT

El enfoque del control en TI (Tecnología de
información) se lleva a cabo visualizando la
información necesaria para dar soporte a los procesos de
negocio y considerando a la información como el resultado
de la aplicación combinada de recursos relacionados con la
tecnología de información que deben ser
administrados por procesos de TI.

Principios:

• Procesos de TI

• Requerimientos de información del
  negocio

• Recursos de TI

• Norma ISO 17799

ISO 17799 es una norma internacional que ofrece
recomendaciones para realizar la gestión de la seguridad
de la información dirigida a los responsables de iniciar,
implantar o mantener la seguridad de una
organización.

ISO 17799 define la información como un activo
que posee valor para la organización y requiere por tanto
de una protección adecuada. El objetivo de la seguridad de
la información es proteger adecuadamente este activo para
asegurar la continuidad del negocio, minimizar los daños a
la organización y maximizar el retorno de las inversiones
y las oportunidades de negocio.

La seguridad de la información se define como la
preservación de:

• Confidencialidad: Aseguramiento de que la
  información es accesible sólo para aquellos
  autorizados a tener acceso.

• Integridad. Garantía de la exactitud y
  completitud de la información y de los métodos
  de su procesamiento.

• Disponibilidad. Aseguramiento de que los
  usuarios autorizados tienen acceso cuando lo requieran a la
  información y sus activos asociados.

El objetivo de la norma ISO 17799 es proporcionar una
base común para desarrollar normas de seguridad dentro de
las organizaciones y ser una práctica eficaz de la
gestión de la seguridad.

La norma ISO 17799 establece diez dominios de control
que cubren por completo la gestión de la seguridad de la
información:

• 1. Política de seguridad.

• 2. Aspectos organizativos para la
  seguridad.

• 3. Clasificación y control de
  activos.

• 4. Seguridad ligada al personal.

• 5. Seguridad física y del
  entorno.

• 6. Gestión de comunicaciones y
  operaciones.

• 7. Control de accesos.

• 8. Desarrollo y mantenimiento de
  sistemas.

• 9. Gestión de continuidad del
  negocio.

• 10. Conformidad con la
  legislación.

De estos diez dominios se derivan 36 objetivos de
control (resultados que se esperan alcanzar mediante la
implementación de controles) y 127
controles(prácticas, procedimientos o mecanismos que
reducen el nivel de riesgo).

Resumen

La seguridad informática es el
área de la computación que se enfoca en la
protección y la privatización de sus sistemas y en
esta se pueden encontrar dos tipos: La seguridad lógica
que se enfoca en la protección de los contenidos y su
información y la seguridad física aplicada a los
equipos como tal, ya que el ataque no es estrictamente al
software del computador como tal sino también al
hardware.

Las amenazas pueden presentarse tanto desde
manera externa como manera interna, y  la forma de
ataques que comúnmente se utiliza es el ataque
mediante  virus que son archivos que pueden alterar
información u datos de otro archivo sin consentimiento del
usuario;  la manera externa es la que se realiza desde
afuera y no posee tanta seguridad, por lo tanto es fácil
de combatir, y por ende mas difícil por parte del
perpetrador llegar a concretar su ataque, en cambio de la interna
que es mucho más peligrosa ya que no necesita estar
conectado en red el computador para recibir el ataque.

Las formas más comunes para
defenderse contra estos ataques es la utilización de los
antivirus y los cortafuegos o firewall.

Conclusión

Actualmente, las organizaciones modernas que operan o
centran gran parte de su actividad en el negocio a
través de Internet necesitan dotar sus sistemas e
infraestructuras Informáticas de las
políticas y medidas de protección más
adecuadas que garanticen el continuo desarrollo y
sostenibilidad de sus actividades; en este sentido, cobra
especial importancia el hecho de que puedan contar
con profesionales especializados en las nuevas
tecnologías de seguridad que implementen y gestionen
de manera eficaz sus sistemas.

Como consecuencia, la información en todas sus
formas y estados se ha convertido en un activo de
altísimo valor, el cual se debe proteger y asegurar para
garantizar su integridad, confidencialidad y
disponibilidad, entre otros servicios de seguridad.
La sociedad de la información y nuevas
tecnologías de comunicación plantean la
necesidad de mantener la usabilidad y
confidencialidad de la información que soportan los
sistemas en las organizaciones; para ello, es
especialmente importante elegir e implantar los sistemas
y métodos de seguridad más idóneos,
que protejan las redes y sistemas ante eventuales
amenazas, ya sean presentes o futuras.

Los servicios de auditoría comprenden el estudio
de los sistemas para gestionar las vulnerabilidades
que pudieran estar presentes en los sistemas. Una vez
localizadas, las anomalías se documentan, se
informa de los resultados a los responsables y se
establecen medidas proactivas de refuerzo, siguiendo
siempre un proceso secuencial que permita que los
sistemas mejoren su seguridad aprendiendo de los errores
pasados.

Las auditorías de los sistemas permiten conocer
en el momento de su realización cual es la
situación exacta de los activos de
información, en cuanto a protección, control y
medidas de seguridad.

Realizar trabajos de auditoría con cierta
periodicidad es necesario para asegurar que la seguridad de la
red corporativa es la óptima. El continuo cambio en las
configuraciones, la aparición de parches y mejoras en el
software y la adquisición de nuevo hardware hacen
necesario que los sistemas estén periódicamente
controlados mediante auditoría.

Una auditoría de sistemas es una
radiografía completa de la situación de
éstos. Asegúrese de que está preparado para
interconectarse. Audite sus sistemas.

Bibliografía

• Alfredo Jiménez. Seguridad en un sistema de
  Información. Recuperado de:
  http://www.monografias.com/trabajos/seguinfo/seguinfo

• Dr. Jorge Ramió Aguirre (2006). Seguridad
  Informática y Criptográfica. Madrid.
  Universidad Politécnica de Madrid.

• ITSOR_Consulting. Curso COBIT 4.1. Sept., 2009.
  Recuperado de:
  http://www.itsor.net/pdf/ITSOR_COBIT_Brochure_VE.pdf

• Jaime Yory, Gerente General; Director de Operaciones
  Internacionales de MVA. Un acercamiento a las mejores
  prácticas de seguridad de Información
  internacionalmente reconocidas en el estándar ISO
  17799. (2009). Bogotá Colombia.

• Normas y Lineamientos que regulan el funcionamiento
  de los órganos internos de control. Normas Generales
  de Auditoria Pública. Recuperado de:
  http://oic.promexico.gob.mx/work/models/oic/Resource/37/1/images/Normas_Generales_Auditoria_Publica.pdf

• Rojas Córsico. Trabajo de Auditoria: Normas
  COBIT. Sept (2009). Recuperado
  de:http://www.monografias.com/trabajos14/auditoriasistemas/auditoriasistemas

• Segu.Info, Seguridad de la Información.
  Seguridad Física. Recuperado de:
  http://www.segu-info.com.ar/fisica/

• Villalón Huerta, Antonio. El Sistema de
  Gestión de la Seguridad de la Información.
  Códigos de buenas prácticas de Seguridad. UNE
  –ISO/IEC 17799. (2004). Valencia.

DEDICATORIA

Este trabajo está dedicado a mis
padres, quienes gracias a ellos mis metas cada día se
hacen más próximas, por su apoyo incondicional, por
su perseverancia y por muchas cosas buenas que me han brindado
día a día.

AGRADECIMIENTOS

Se le da un agradecimiento especial a
varios autores como son: el Dr. Jorge Ramió Aguirre, Dr.
Jaime Yory y al Dr. Rojas Córsico¸los cuales nos han
brindado información a través de sus libros y
revistas para poder llevar a cabo este trabajo y también
agradecer a la Ing. LIZANA PUELLES por permitirnos dar a conocer
a los lectores de este tema tan importante basado en la seguridad
informática.

Autor:

• GARCIA JIMENEZ DEYBER
  JOCELYN

• VILLEGAS RIVAS RONALD
  RICHARD

• Piura, 2014