source: libros/recopilacionInicial/capitulo2/ProcesoPercepcionSeguridad.tex @ 4f42880

\section{Procesos para aumentar la percepción de seguridad de la información}

Es esencial que las instituciones identifique claramente sus requerimientos de seguridad. La figura \ref{ProcesoPercepcionSeguridad} muestra la relación entre los procesos a incluir para identificar los requerimientos de seguridad y alcanzar el objetivo de cumplir con metas sobre seguridad de la información. Entre los procesos se encuentran: Identificación y evaluación de los riesgos, Revisión, Monitoreo, selección e implementación de controles.\\

\begin{figure}[ht!]
\begin{center}
\includegraphics[height=9cm,angle=0]
{imagenes/procesoPercepcionSeguridad.eps}
\end{center}
\caption{\em Proceso de percepción de la Seguridad. \label{ProcesoPercepcionSeguridad}}
\end{figure}

\subsection{Identificación de los riesgos}

Es una medida que busca rastrear vulnerabilidades en los activos que puedan ser explotados por amenazas. Es necesario la identificación de los riegos que puedan existir en la institución, para la misma es importante considerar los distintos ámbitos para implementación de la seguridad alrededor de donde se encuentra la información.\\

Entre los ámbitos se encuentra:
\renewcommand{\labelenumi}{(\alph{enumi}).}

\begin{enumerate}
\item \textbf{Técnico:} que se refiere al conocimiento que se tiene de las configuración de los componentes de toda la infraestructura tecnológicos de respaldo, comunicación, procesamiento, tránsito y almacenamiento de la información. Los activos en este ámbito son de tipo aplicaciones, equipo informáticos y de comunicación, datos, documentación, manuales, consumibles, servicios ofrecidos a usuarios internos como externos, requiriendo la realización de un inventario de los activos antes mencionados que permitirá:
        \begin{itemize}
                \item Tener un registro actualizado de los activos de la institución.
                \item Facilitar el posterior análisis de las vulnerabilidades.
                \item Conocer la sensibilidad de la información que se manipula, clasificándola en función al grado de importancia para la institución.
                \item Identificar los posibles objetivos de los ataques o intento de intrusión.
                \item Ser utilizado en caso de recuperación frente a un incidente grave de seguridad.
        \end{itemize}

Asimismo será necesario identificar los distintos puntos de accesos a la red y los tipos de conexiones utilizadas.


\item \textbf{Humano}: referido a la compresión de las maneras en que las personas se relaciona con los activos, y de la cultura que se tiene en materia de seguridad de la información. Así, es posible detectar cuáles vulnerabilidades provenientes de acciones humanas, y es posible dirigir recomendaciones para mejorar y garantizar la continuidad de las actividades de la institución. Este análisis pretende inicialmente identificar vulnerabilidades en los activos de tipo usuario y organización, el nivel de acceso que las personas tienen en la red o en las aplicaciones, las restricciones y permisos que deben tener para realizar sus tareas con los activos. El nivel de capacitación y formación educativa que necesitan tener acceso para manipularlos, uso de buenas practicas de claves y contraseñas, nivel de responsabilidad y sensibilización de los miembros de la institución. Para su identificación debemos: 

        \begin{itemize}
                \item Investigar la formación del personal en materia de seguridad
                \item Investigar sobre la cultura en materia de seguridad de la información que maneje la institución.
        \end{itemize}

\item \textbf{Físico:} El análisis físico de seguridad de la información pretende identificar la infraestructura física del ambiente en que los activos encuentran vulnerabilidades que puedan traer algún perjuicio a la información y a todos los demás activos. El enfoque principal de este ámbito de análisis son los activos de tipo organización, pues son los que proveen el soporte físico al entorno en que está siendo manipulada la información, Identificar posibles fallas en la localización física de los activos tecnológicos.
        \begin{itemize}
                \item Investigar sobre las condiciones físicas y ubicación donde se encuentra los equipos computacionales de la institución.
                \item Investigar sobre los servicios requeridos como linea telefónica, antenas de comunicación, instalaciones eléctricas.
                \item Controles de accesos físicos existentes
                \item Controles de protección y extinción de incendios
        \end{itemize}

\end{enumerate}

\subsection{Evaluación de los riesgos de seguridad}

Una vez identificados los riesgos de seguridad, se deben someter a evaluaciones para determinar, cuantificar, y priorizar los riesgo de la institución de acuerdos a los objetivos relevantes de la institución. La evaluación de los riesgos tiene como resultado un grupo de recomendaciones para la selección y/o corrección de los controles sobre los activos para que los mismos puedan ser protegidos. La evaluación de los riesgos de seguridad deben tener bien claro y definido el alcance que va a tener para que la misma sea efectiva.\\

La evaluación de los riesgos se conforma por saber: \\

\begin{itemize}

\item La amenaza que representa el riesgo al normal funcionamiento de la institución.
\item El impacto que tendría el riesgo en la institución si llegara a ocurrir, 
\item La posible frecuencia que podría ocurrir el riesgos.
\end{itemize}

Los resultados de la evaluación deben guiar y determinar las acciones en el tratamiento de los riesgos, esta evaluación puede que requiera ser realizada periódicamente, cuando se tenga cambios significativos; nuevos requerimiento de los sistemas, situaciones de riesgos, amenazas, vulnerabilidades, o cualquier cambio que podria influir en los resultados de la evaluación de los riesgos. \\

Las evaluaciones se pueden aplicar a toda la institución, parte de ella, un sistema información en particular, componentes específicos del sistema. Los riegos deben ser aceptados por toda la institución de manera objetiva y con conocimiento. De ser necesario hay que trasferir los riesgos a terceros como los son proveedores y/o aseguradores.\\

Hay herramientas para la evaluación de vulnerabilidades, que permiten conocer la situación real de un sistema y mejorar su seguridad, verificando que los mecanismos de seguridad funcione correctamente. Con esta información obtenida es posible justificar la implantación de nuevas medidas de seguridad, así como de priorizar las medidas a implementar en función a las vulnerabilidades detectadas. \\

Dentro de la evaluaciones de la seguridad de los sistemas informáticos se realizan las pruebas de penetración internas y externas, que representa una valiosa herramienta metodológica. 
Una prueba de penetración consta de las siguientes etapas:\\

\begin{itemize}
\item Reconocimiento del sistema para averiguar qué tipo de información podría obtener un atacante o usuario malicioso.
\item Detección y verificación de las vulnerabilidades en los servidores estándar y en aplicaciones desarrolladas por la institución.  
\item Intento de explotación de las vulnerabilidades detectadas
\item Generación de informes, con el análisis de los resultados
\end{itemize}

\subsection{Selección de los controles}

Una vez que se haya evaluado los riesgos de seguridad se decide el tratamientos que se le va a dar a los riesgos, seleccionando los controles que aseguren un nivel adecuado de seguridad para la institución. Se realiza una investigación sobre las posibles soluciones existente para cada uno de los riesgos identificados de cada ámbito, por ejemplo, en el ámbito técnico se hace una investigación de la tecnología libres existentes que cubra los riesgos identificados (cortafuegos, redes privadas virtuales, protocolos de comunicación seguros, sistemas de detección de intrusos de red y host, sistemas de escaneo de puertos, etr), en el ámbito Humano, dictar charlas y dar cursos de seguridad de tal manera que se puedan sensibilizar a las personas que interactuan con los sistemas informáticos,  en el ámbito físico, la instalación de circuitos de cámaras de cerradas, instalación de controles físicos, remodelación o reforzamientos del centro de datos.\\

Es importante considerar el gasto de los controles de seguridad, ya que el mismo debiera ser equilibrado con el daño probable que resulta de las debilidades en la seguridad de la información. Si el gasto del o los controles es mucho mayor al posible daño que pudiera resultar, la institución pudiera asumir el riesgo de ocurrir un incidente de seguridad por esa debilidad en la seguridad de la información y no colocar el o los controles de seguridad.\\

Existen controles que se consideran principios orientativos y esenciales, que proporciona un punto de partida adecuada para implementar la seguridad de la información como es las políticas de seguridad. se deben considerar:\\

\begin{itemize}
\item Aprobar, documentar, publicar y comunicar las políticas de seguridad a todos los miembros de la institución de forma adecuada; como por ejemplos: charlas y/o cursos en materia de seguridad.
\item Asignar las responsabilidades de seguridad a miembros de la institución, en concordancia con las políticas de seguridad.
\item Identificar los procedimientos de seguridad asociados a cada activos de la institución.
\item Definir y documentar los niveles de autorización.
\item Registrar las incidencias y mejoras de seguridad.
\item Desarrollar e Implementar procedimiento de gestión de continuidad de actividades para reducir, a niveles aceptables, la interrupción causada por los desastres y fallas de seguridad.
\item Salvaguarda los registros de la organización. Se deberían proteger los registros importantes de la organización frente a su pérdida, destrucción y/o falsificación.
\item Sencibilización y formación de los mimbros de la institución en materia de seguridad de la información 
\end{itemize}

\subsection{Implementar los controles seleccionados}

Es recomendable que los controles en el plano técnicos de seguridad se implemente en un ambiente de pruebas antes de colocarlos en el ambiente de producción para no producir inconveniente en los servicios informáticos. \\
Se deben configurar e implementar los controles de tal manera que existan varias líneas de seguridad independientes dentro del mismo sistemas informático para dar cabida al concepto de seguridad en profundidad (ver sección 5). \\

Hay otros controles esenciales en el plano institucional que depende de la legislación aplicable en la institucion, como por ejemplo lo seria: la protección de datos y privacidad de la información personal.\\

Los controles en el plano humano, como la sensibilización y formación de los todos los miembros de la institución deben recibir una adecuada formación en seguridad, desde la directiva hasta los obreros y pasando, cuando sea relevante, los contratista y terceras personas.\\
Se recomienda organizar charlas, cursos que permita la formación en materia de seguridad de la información de acuerdo al área de actuación a los miembros de la institución que permita informar:

\begin{itemize}
\item El correcto uso de los medios de procesamientos de la información.
\item Actualización de nuevos controles y políticas de seguridad
\item El conocimientos de las vulnerabilidades existente
\end{itemize}

Permitiendo aumentar la conciencia y conocimiento a los miembros de la institución con le objetivo de que puedan reconocer los problemas e incidentes de seguridad de la información, y responder adecuadamente a las necesidades según su rol dentro de la institución.\\

\subsection{Monitorear y mejorar los controles de seguridad}

Los controles de seguridad beberían ser revisado en periodos planificados o cuando ocurran cambios significativos que puedan afectar la eficiencia y efectividad de los controles.\\

Se recomienda la realización de pruebas y auditorias periódicas de seguridad constituye un elemento de gran importancia para poder comprobar la adecuada implantación de los controles de seguridad y medidas definidas en las políticas de seguridad de la información, para ello se debe realizar:\\
\begin{itemize}
\item Pruebas de análisis de posibles vulnerabilidades del sistema informático, para localizar de forma automáticas algunas de las vulnerabilidades mas conocidas.
\item Pruebas de intrusión, en las que no sólo se detecten las vulnerabilidades, sino que se trata de explotar las que se hayan identificados.
\item Registros de incidentes de seguridad de la información.
\end{itemize}

Hay herramientas para la evaluación de vulnerabilidades, que permiten conocer la situación real de un sistema y mejorar su seguridad, verificando que los mecanismos de seguridad funcione correctamente. Con esta información obtenida es posible justificar la implantación de nuevas medidas de seguridad, así como de priorizar las medidas a implementar en función a las vulnerabilidades detectadas.\\

Dentro de la evaluaciones de la seguridad de los sistemas informáticos se realizan las pruebas de penetración internas y externas, que representa una valiosa herramienta metodológica.\\

Una prueba de penetración consta de las siguientes etapas:\\

\begin{itemize}
\item Reconocimiento del sistema para averiguar qué tipo de información podría obtener un atacante o usuario malicioso.
\item Detección y verificación de las vulnerabilidades en los servidores estándar y en aplicaciones desarrolladas por la institución.  
\item Intento de explotación de las vulnerabilidades detectadas
\item Generación de informes, con el análisis de los resultados
\end{itemize}