Changeset f6f92c7 in libros


Ignore:
Timestamp:
Oct 16, 2014, 8:55:14 AM (10 years ago)
Author:
aaraujo <aaraujo@…>
Branches:
revisionfinal
Children:
cbd37f3
Parents:
9eaa9ea
git-author:
Dhionel Díaz <ddiaz@…> (12/10/14 18:57:37)
git-committer:
aaraujo <aaraujo@…> (16/10/14 08:55:14)
Message:

Correcciones capítulo 2.

  • Correcciones a las secciones Seguridad Lógica en... (2.16) a Plan de recuperación... (2.22)

Signed-off-by: Dhionel Díaz <ddiaz@…>
Signed-off-by: aaraujo <aaraujo@moe>

Location:
maquetacion/capitulo2
Files:
8 edited

Legend:

Unmodified
Added
Removed

  • maquetacion/capitulo2/gestionIncidenteSeguridad.tex

    rc1c9daf rf6f92c7  
    33Un incidente de seguridad es cualquier evento que pueda ocasionar la
    44interrupción o degradación de los servicios de los sistemas.
    5 Estos incidentes pueden ser ocasionados de forma intencional, por error de aplicación de las políticas y procedimientos de
     5Estos incidentes pueden ser ocasionados de forma intencional, por
     6error de aplicación de las políticas y procedimientos de
    67seguridad, de desastre natural o del entorno como las inundaciones,
    78incendios, tormentas, fallos eléctricos entre otros.
    … …  
    1213\begin{itemize}
    1314
    14 \item Se debe contar con un equipo de personas para la solución del incidente, que será el equipo encargado de activar y coordinar el plan de contingencia.
    15 Este equipo debe estar constituido por personas que cuenten con la experiencia y
    16 formación necesaria que pueda dar respuesta ante cualquier incidente de seguridad.
    17 Debe existir una lista de números telefónicos y direcciones actualizadas para la
     15\item Se debe contar con un equipo de personas para la
     16superación del incidente, que será el equipo encargado
     17de activar y coordinar el plan de contingencia.
     18Este equipo debe estar constituido por personas que cuenten
     19con la experiencia y
     20formación necesaria que pueda dar respuesta
     21ante cualquier incidente de seguridad.
     22Debe existir una lista de números telefónicos y
     23direcciones actualizadas para la
    1824ubicación de las personas que conforman este equipo en el momento que
    1925ocurra un incidente de seguridad.
    … …  
    2430
    2531\item Hacer inventario de los equipos y servicios. Se requiere de una descripción
    26 detallada de la ubicación, configuración, características, y procedimientos de respaldo y recuperación.
     32detallada de la ubicación, configuración, características,
     33y procedimientos de respaldo y recuperación.
    2734
    2835\item Considerar los posibles escenarios de incidentes de seguridad que puedan
    29 ocurrir en cada área crítica identificada. Los mismos deben estar bien documentados.
     36ocurrir en cada área crítica identificada. Los mismos deben estar
     37bien documentados.
    3038
    3139\item Describir clara y detalladamente los planes de contingencia de todos los
    … …  
    3341procedimientos de actuación necesarias para la restauración rápida y eficiente.
    3442
    35 \item Efectuar reuniones al menos una vez al año para la revisión del plan de contingencia,
     43\item Efectuar reuniones al menos una vez al año para
     44la revisión del plan de contingencia,
    3645en función de evaluar y actualizar las condiciones del sistema informático.
    3746
    3847\item Detectar incidentes de seguridad. La institución debe prestar
    3948especial atención a los indicadores de incidentes de seguridad,
    40 como una actividad a contemplar dentro del plan de respuesta a incidentes. Entre estos indicadores se tienen:
     49como una actividad a contemplar dentro del plan de respuesta
     50a incidentes. Entre estos indicadores se tienen:
    4151
    4252        \begin{itemize}
    43                 \item Cambio de configuración de los equipos de red con acciones tales como la activación de nuevos servicios, la verificación de puertos abiertos no autorizados, entre otros.
     53                \item Cambio de configuración de los equipos de red
     54                con acciones tales como la activación de nuevos servicios,
     55                la verificación de puertos abiertos no autorizados, entre otros.
    4456
    45                 \item Caída en el rendimiento de la red o algún servidor debido a un incremento inusual del trafico de datos.
     57                \item Caída en el rendimiento de la red o algún servidor
     58                debido a un incremento inusual del trafico de datos.
    4659
    47                 \item Caída o mal funcionamiento de servidores como: reinicio inesperado, fallos en algún servicio.
     60                \item Caída o mal funcionamiento de servidores como:
     61                reinicio inesperado, fallos en algún servicio.
    4862
    4963                \item Existencia de herramientas no autorizadas en el sistema.
    5064
    51                 \item Aparición de nuevas cuentas de usuarios o registro de actividades inusuales
    52                 en algunas cuentas como: conexión de usuarios en horarios poco usuales.
     65                \item Aparición de nuevas cuentas de usuarios o registro
     66                de actividades inusuales
     67                en algunas cuentas como: conexión de usuarios en horarios
     68                poco usuales.
    5369        \end{itemize}
    5470
    … …  
    5773\subsection{Durante el incidente de seguridad:}
    5874
    59 Cuando ya se tiene certeza del incidente a través de datos que lo confirman, se debe actuar de forma oportuna y diligente. En esta fase del incidente, se pueden seguir las siguientes recomendaciones:
     75Cuando ya se tiene certeza del incidente a través de datos
     76que lo confirman, se debe actuar de forma oportuna y diligente.
     77En esta fase del incidente, se pueden seguir las siguientes recomendaciones:
    6078
    6179
    6280\begin{itemize}
    63 \item Analizar el incidente de seguridad con el objetivo de determinar el alcance (aplicaciones afectadas,
    64 información confidencial comprometida, equipos afectados, entre otras), para ayudar al
    65 equipo de solución a tomar soluciones adecuadas y permitan establecer prioridades
     81\item Analizar el incidente de seguridad con el objetivo
     82de determinar el alcance (aplicaciones afectadas,
     83información confidencial comprometida, equipos afectados,
     84entre otras), para ayudar al
     85equipo de solución a tomar soluciones adecuadas y permitan
     86establecer prioridades
    6687en las actividades que se deben llevar a cabo.
    6788
    68 \item Poner en marcha el plan de contingencia de acuerdo al incidente de  seguridad presentado.
     89\item Poner en marcha el plan de contingencia de acuerdo al
     90incidente de  seguridad presentado.
    6991
    70 \item Contener, erradicar y recuperar. El equipo de solución debe llevar a
    71 cabo
    72 una rápida actuación para  evitar que el incidente de seguridad vaya a
    73 tener mayores consecuencias a la institución.
     92\item Contener, erradicar y recuperar. El equipo responsable
     93debe llevar a cabo
     94una rápida actuación para  evitar que el incidente de
     95seguridad vaya a tener mayores consecuencias a la institución.
    7496\end{itemize}
    7597
    … …  
    7799\subsection{Después del incidente de seguridad:}
    78100
    79 Después de la ocurrencia del incidente de seguridad, es decir, cuando ya se encuentre en pleno funcionamiento el sistema informático, se recomiendan ejecutar las siguientes actividades:
     101Después de la ocurrencia del incidente de seguridad, es decir, cuando
     102ya se encuentre en pleno funcionamiento el sistema informático, se
     103recomiendan ejecutar las siguientes actividades:
    80104
    81105\begin{itemize}
    82106
    83 \item Análisis y revisión del incidente. Causas del incidente, valoración inicial de los daños y sus posibles consecuencias
     107\item Análisis y revisión del incidente. Causas del incidente,
     108valoración inicial de los daños y sus posibles consecuencias.
    84109
    85 \item Una completa documentación del incidente facilitará su posterior estudio.
     110\item Una completa documentación del incidente facilitará
     111su posterior estudio.
    86112Entre los aspectos que debe tener reflejado la documentación se tiene:
    87113
    88114        \begin{itemize}
    89                 \item Descripción del tipo de incidente: ataque a la seguridad, procedimientos de seguridad, desastres naturales.
     115                \item Descripción del tipo de incidente: ataque a la
     116                seguridad, procedimientos de seguridad, desastres naturales.
    90117
    91                 \item Hechos registrados (como por ejemplo: logs de los equipos).
     118                \item Hechos registrados (como por ejemplo: bitácoras
     119                de los equipos).
    92120
    93121                \item Daños producidos en los sistemas informáticos.
    … …  
    95123                \item Decisiones y actuación del equipo de respuesta.
    96124
    97                 \item Lista de evidencias obtenidas durante el análisis y la investigación
     125                \item Lista de evidencias obtenidas durante el análisis
     126                y la investigación
    98127
    99                 \item Posibles actuaciones y recomendaciones para reforzar la seguridad y evitar incidentes similares en un futuro.
     128                \item Posibles actuaciones y recomendaciones para reforzar
     129                la seguridad y evitar incidentes similares en un futuro.
    100130        \end{itemize}
    101131
    … …  
    106136vulnerabilidades omitidos o recreados luego de la recuperación de los sistemas.
    107137
    108 \item Aplicación de \textit{informática forense}. Esta proporciona los principios y técnicas que facilitan la
    109 investigación de los eventos informáticos ocurridos, mediante la identificación, captura,
    110 reconstrucción y análisis de evidencias. Entre las etapas para el análisis forense se tienen:
     138\item Aplicación de \textit{informática forense}. Esta proporciona
     139los principios y técnicas que facilitan la
     140investigación de los eventos informáticos ocurridos, mediante
     141la identificación, captura,
     142reconstrucción y análisis de evidencias. Entre las etapas para
     143el análisis forense se tienen:
    111144
    112145        \begin{itemize}
    … …  
    117150                \item Análisis de la información obtenida.
    118151
    119                 \item Elaboración de informe con las conclusiones del análisis forense.
     152                \item Elaboración de informe con las conclusiones
     153                del análisis forense.
    120154        \end{itemize}
    121155\end{itemize}

  • maquetacion/capitulo2/planRecuperacionDesastres.tex

    rc1c9daf rf6f92c7  
    11\section{Plan de recuperación ante desastres}
    22
    3 El "Plan de recuperación ante desastre" es un elemento que contribuye a la práctica efectiva de
    4 medidas de seguridad para garantizar una adecuada recuperación de la operatividad mínima
    5 luego de una contingencia, en donde se vean afectados los procesos y
    6 recursos informáticos que funcionen en la organización.
     3El ``Plan de recuperación ante desastres'' es un
     4elemento que contribuye a la práctica efectiva de
     5medidas de seguridad para garantizar una adecuada
     6recuperación de la operatividad mínima
     7luego de una contingencia, en donde se vean
     8afectados los procesos y recursos informáticos que
     9funcionen en la organización.
    710
    8 Los desastres pueden ser naturales o accidentales como incendios, inundaciones, corte en el
    9 suministro de energía eléctrica, entre otros eventos no planificados. El plan de
     11Los desastres pueden ser naturales o accidentales
     12como incendios, inundaciones, corte en el
     13suministro de energía eléctrica, entre otros eventos
     14no planificados. El plan de
    1015recuperación ante desastres debe especificar
    11 los objetivos y prioridades a tener en cuenta por las instituciones. Es necesario
    12 contemplar la disponibilidad de los recursos y medios adecuados que permitan restaurar
    13 el funcionamiento de los sistemas informáticos de la institución, así como de la
    14 recuperación
    15 de los datos, aplicaciones y servicios básicos. La práctica de recuperación
    16 que se acostumbra a realizar es:
     16los objetivos y prioridades a tener en cuenta por
     17las instituciones. Es necesario
     18contemplar la disponibilidad de los recursos y medios
     19adecuados que permitan restaurar
     20el funcionamiento de los sistemas informáticos de la
     21institución, así como de la recuperación
     22de los datos, aplicaciones y servicios básicos. La
     23práctica de recuperación que se acostumbra a realizar es:
    1724
    1825
    1926\begin{itemize}
    2027
    21 \item Disponibilidad de un centro alternativo para la ubicación de los principales recursos informáticos
    22 (servidores, aplicaciones, bases de datos,  entre otros). Este centro debe contar
     28\item Disponibilidad de un centro alternativo para la
     29ubicación de los principales recursos informáticos
     30(servidores, aplicaciones, bases de datos,  entre otros).
     31Este centro debe contar
    2332con las mismas medidas de seguridad que las instalaciones principales
    2433de la institución.
    2534
     35\begin{comment}
    2636% Entre las diferentes alternativas de centro alterno tenemos:
    2737%       \begin{itemize}
    … …  
    3242%               \item Centro alterno “Caliente” en una configuración en “espejos”. Se trata de un centro con el mismo equipamiento que el centro principal y que trabajo de modo paralelo a este, pudiendo entrar en acción inmediatamente a la caída del centro principal.
    3343%       \end{itemize}
     44\end{comment}
    3445
    3546\item Existencia de políticas de respaldo y recuperación.
    3647
    37 \item Herramientas para llevar a cabo una replicación de los documentos y las bases de datos.
     48\item Herramientas para llevar a cabo una replicación de los
     49documentos y las bases de datos.
    3850
    39 \item Detección y respuesta al desastre en el centro principal, adoptando las medidas de contención previstas
     51\item Detección y respuesta al desastre en el centro principal,
     52adoptando las medidas de contención previstas
    4053dependiendo del tipo de desastre: incendio, inundación, explosión, entre otros.
    4154
    42 \item Traslado de las actividades a un centro alternativo, junto con el personal necesario para la puesta
     55\item Traslado de las actividades a un centro alternativo,
     56junto con el personal necesario para la puesta
    4357en marcha de los servicios, equipos informáticos, copias de seguridad más
    4458recientes y con las medidas de seguridad que correspondan, entre otros.

  • maquetacion/capitulo2/politicasRespaldoRecuperacion.tex

    rc1c9daf rf6f92c7  
    22\label{politicasDeRespaldoYRecuperacion}
    33
    4 Es imprescindible contar con políticas de respaldo y recuperación para garantizar el continuo
    5 funcionamiento de los sistemas de la organización. La recuperación de los sistemas posterior
    6 a la interrupción de índole natural o accidental como incendios, mal funcionamiento de los
    7 sistemas, errores humanos, entre otros, resulta necesario, requiriendo de una acción rápida para asegurar la disponibilidad.
     4Es imprescindible contar con políticas de respaldo
     5y recuperación para garantizar el continuo
     6funcionamiento de los sistemas de la organización. La
     7recuperación de los sistemas posterior
     8a la interrupción de índole natural o accidental como
     9incendios, mal funcionamiento de los
     10sistemas, errores humanos, entre otros, resulta necesario,
     11requiriendo de una acción rápida para asegurar la disponibilidad.
    812
    913% \begin{figure}[ht!]
    … …  
    1620% \end{figure}
    1721
    18 Con el objetivo de garantizar la disponibilidad de los servicios es necesario contar con planes
    19 de contingencias ante desastres y para esto se requiere aplicar las políticas de respaldo y recuperación:
     22Con el objetivo de garantizar la disponibilidad de los servicios
     23es necesario contar con planes
     24de contingencias ante desastres y para esto se requiere
     25aplicar las políticas de respaldo y recuperación:
    2026
    2127%En la figura \ref{fig:interrupcionServicios} se muestra un bosquejo sobre un proceso de interrupción de servicios.
    … …  
    2329\subsection{Normas para las políticas de respaldo y recuperación}
    2430
    25 Entre las normas a aplicar para el respaldo y la recuperación se pueden mencionar las siguientes:
     31Entre las normas a aplicar para el respaldo y la recuperación se pueden
     32mencionar las siguientes:
    2633
    2734
    2835\begin{itemize}
    29 \item Las copias de respaldo de datos y archivos de servidores deben ser realizadas y
    30 supervisadas por personal debidamente autorizado.
     36\item Las copias de respaldo de datos y archivos de servidores
     37deben ser realizadas y supervisadas por personal debidamente autorizado.
    3138
    3239
    33 \item Planificar las copias de respaldo que se deben realizar en función del volumen y del tipo de información generada por los sistemas informáticos.
     40\item Planificar las copias de respaldo que se deben realizar
     41en función del volumen y del tipo de información generada por
     42los sistemas informáticos.
    3443
    35 \item Todas las copias de respaldo y medios de almacenamiento utilizados deben estar bien identificadas
    36 con información tal como: a qué equipo de computación pertenece, contenido de la copia de
    37 respaldo, fecha y hora de ejecución del respaldo, cronogramas de ejecución del respaldo,
    38 tipo de respaldo (completos, incrementales, diferenciales), cuantos medios de almacenamiento
    39 fueron utilizados, identificación de la persona que ejecuta el respaldo,
    40 ubicación asignada para su almacenamiento, personas responsables del almacenamiento.
     44\item Todas las copias de respaldo y medios de almacenamiento
     45utilizados deben estar bien identificadas
     46con datos tales como: a qué equipo de computación pertenece,
     47contenido de la copia de
     48respaldo, fecha y hora de ejecución del respaldo, cronogramas
     49de ejecución del respaldo,
     50tipo de respaldo (completos, incrementales, diferenciales),
     51cuantos medios de almacenamiento
     52fueron utilizados, identificación de la persona que ejecutó el respaldo,
     53ubicación asignada para su almacenamiento,
     54personas responsables del almacenamiento.
    4155
    42 \item Establecer los sistemas  técnicos que se van a emplear para garantizar la privacidad e integridad de los datos que se almacenen.
     56\item Establecer los sistemas  técnicos que se van a emplear
     57para garantizar la privacidad e integridad de los datos que se almacenen.
    4358
    44 \item Contar con un lugar de resguardo para los respaldos, físicamente seguro y
    45 que posea controles de acceso.
     59\item Contar con un lugar de resguardo para los respaldos,
     60físicamente seguro y que posea controles de acceso.
    4661
    47 \item Generar en un tiempo determinado dos copias de los respaldos, unas de esas copias, se
    48 debe resguardar en otro sitio fuera del edificio, este sitio debe igualmente
     62\item Generar en un tiempo determinado dos copias de los respaldos,
     63unas de esas copias, se debe resguardar en otro sitio fuera del edificio,
     64este sitio debe igualmente
    4965cumplir con determinados características de seguridad al sitio principal.
    5066Además, el acceso y traslado de las copias deben ser realizados por
    5167personal debidamente identificado y autorizado para ejecutar el procedimiento.
    5268
    53 \item Efectuar las pruebas de recuperación en un tiempo determinado y definido para verificar el estado de los soportes y el correcto funcionamiento de las copias de respaldo.
     69\item Efectuar las pruebas de recuperación en un tiempo determinado y
     70definido para verificar el estado de los soportes y el correcto
     71funcionamiento de las copias de respaldo.
    5472
    55 \item Para los casos de aplicaciones críticas se recomienda implementar técnicas de
     73\item Para los casos de aplicaciones críticas
     74se recomienda implementar técnicas de
    5675sincronización automática, por hardware y software de forma que si la aplicación
    5776principal deja de funcionar la otra aplicación espejo tome el control
    58 inmediatamente o en un tiempo mínimo requerido para su ejecución, este procedimiento es llamado redundancia.
     77inmediatamente o en un tiempo mínimo requerido para su ejecución,
     78este procedimiento es denominado despeje automático de fallas basado en
     79la redundancia de los sistemas.
    5980\end{itemize}

  • maquetacion/capitulo2/politicasSeguridadCentroDatos.tex

    rc1c9daf rf6f92c7  
    77\item Los procedimientos para la creación de nuevas cuentas críticas.
    88
    9 \item Los niveles de acceso físico y lógico de los recursos computacionales, para establecer quiénes están autorizados para realizar determinadas actividades y operaciones; a qué datos, aplicaciones y servicios, desde qué equipo computacional puede acceder, quiénes pueden acceder al centro de datos.
     9\item Los niveles de acceso físico y lógico de los recursos computacionales,
     10para establecer quiénes están autorizados para realizar determinadas
     11actividades y operaciones; a qué datos, aplicaciones y servicios, desde
     12qué equipo computacional puede acceder, quiénes pueden acceder
     13al centro de datos.
    1014
    1115\item Los procedimientos para eliminar o bloquear las cuentas y los posibles
    1216escenarios que puedan incurrir en esta medida.
    1317
    14 \item El personal que delegará la responsabilidad del control de: usuarios, claves, entre otros, en los momentos cuando no esté el responsable principal.
     18\item El personal en que se delegará la responsabilidad del control de:
     19usuarios, claves, entre otros, en los momentos cuando no esté
     20el responsable principal.
    1521
    16 \item Las  políticas de respaldo y recuperación ante incidentes para garantizar el continuo funcionamiento de los sistemas de la institución.
     22\item Las  políticas de respaldo y recuperación ante incidentes
     23para garantizar el continuo funcionamiento de los sistemas
     24de la institución.
    1725
    18 \item Los procedimientos para respaldar o eliminar información o sistemas de los equipos de computación
     26\item Los procedimientos para respaldar o eliminar información
     27o sistemas de los equipos de computación
    1928(ver sección \ref{politicasDeRespaldoYRecuperacion}).
    2029
    21 \item Las posibles violaciones y consecuencias derivadas del incumplimiento de las políticas de seguridad.
     30\item Las posibles violaciones y consecuencias derivadas del
     31incumplimiento de las políticas de seguridad.
    2232
    23 \item Las sanciones a los responsables por la violación de las políticas de seguridad.
     33\item Las sanciones a los responsables por la violación de
     34las políticas de seguridad.
    2435
    2536\item Clasificar la información e identificar los activos de información.
    … …  
    3243
    3344\begin{itemize}
    34 \item Mantener en óptimas condiciones el funcionamiento de la red para garantizar su disponibilidad.
     45\item Mantener en óptimas condiciones el funcionamiento de la
     46red para garantizar su disponibilidad.
    3547
    36 \item Revisar periódicamente el estado físico del cableado horizontal y vertical de la red de la institución.
     48\item Revisar periódicamente el estado físico del cableado
     49horizontal y vertical de la red de la institución.
    3750
    38 \item Realizar periódicamente mantenimientos preventivos y correctivos a los equipos de telecomunicaciones. Se recomienda que el mantenimiento se  realice  semestral, además deberá ser registrado en bitácoras.
     51\item Realizar periódicamente mantenimientos preventivos y
     52correctivos a los equipos de telecomunicaciones. Se recomienda
     53que el mantenimiento se  realice  semestral, además deberá ser
     54registrado en bitácoras.
    3955
    40 \item Supervisar y mantener adecuadamente las instalaciones de la infraestructura de red.
     56\item Supervisar y mantener adecuadamente las instalaciones de
     57la infraestructura de red.
    4158
    4259
    4360\item Administrar y operar los servidores de la red interna de la organización.
    4461
    45 \item La red interna no será instrumento de experimentos que pongan en riesgo la
    46 integridad de la información.
     62\item Garantizar que la red interna no sea instrumento de experimentos que pongan
     63en riesgo la integridad de la información.
    4764
    4865\item Configurar y supervisar los equipos de comunicaciones.
    4966
    50 \item Construir un mapa de red y actualizarlo ante cambios.
     67\item Construir un mapa de red y mantenerlo actualizado.
    5168
    52 \item Asegurar las contraseñas críticas como: administrador (\textit{root}), aplicaciones como cortafuegos, servidores, entre otros.
     69\item Asegurar las contraseñas críticas como: administrador (\textit{root}),
     70aplicaciones como cortafuegos, servidores, entre otros.
    5371
    54 \item Ubicar los equipos en salas (centro de datos) con acceso restringido y medidas de seguridad física, utilizando estándares o certificaciones.
     72\item Ubicar los equipos en salas (centro de datos) con acceso restringido
     73y medidas de seguridad física, utilizando estándares o certificaciones.
    5574\end{itemize}

  • maquetacion/capitulo2/seguridadFisicaCentroDatos.tex

    rc1c9daf rf6f92c7  
    11\section{Seguridad física en los centros de datos}
    22
    3 Para establecer la seguridad física se deben tener en consideración varios aspectos
    4 (físico, lógico y ambiental) que permitirán una configuración apropiada y segura
    5 para el centro de datos. En esta área por lo general se encuentra un alto
    6 porcentaje de los activos de información de la institución. En él se concentran y se procesan todos los recursos
    7 lógicos con que opera la institución. Para configurar un centro de datos confiable y seguro se debe
    8 considerar:
     3Para establecer la seguridad física se deben tener
     4en consideración varios aspectos (físico, lógico y ambiental)
     5que permitirán una configuración apropiada y segura
     6para el centro de datos. En esta área por lo general se
     7encuentra un alto porcentaje de los activos de información de la institución,
     8por cuanto en él se concentran y se procesan la mayor parte de los recursos
     9lógicos con que opera la institución. Para configurar un
     10centro de datos confiable y seguro se debe considerar lo siguiente:
    911
    1012\subsection{Servicios que prestan o prestarán los centros de datos}
    … …  
    2426\end{itemize}
    2527
    26 Con esta información se pueden establecer las relaciones con la capacidad de procesamiento,
     28Con esta información se pueden establecer las relaciones con la
     29capacidad de procesamiento,
    2730cantidad de equipos computacionales requerido, espacio físico y acondicionamiento
    2831del espacio (aire acondicionado, capacidad de la planta eléctrica, entre otros).
    2932
    30 \subsection{Ubicación y condición física de los centros de datos}
    31 
    32 La selección de la ubicación de un centro de datos, es un factor determinante en su correcto
     33\subsection{Ubicación y condiciones físicas para centros de datos}
     34
     35La selección de la ubicación de un centro de datos es un factor
     36determinante en su correcto
    3337funcionamiento, puesto que de esto depende la mayor protección y seguridad
    34 de una de las áreas más importantes de cualquier institución.
     38de una de las áreas más importantes de la institución a la que pertenezca.
    3539
    3640Para la ubicación del centro de datos se recomienda que:
    3741
    3842\begin{itemize}
    39 \item Se encuentre alejado de instalaciones eléctricas como radares, microondas, u otro equipo que genere ondas electromagnéticas, para
    40 que no influyan en el funcionamiento de los equipos de computación del centro de datos.
    41 
    42 \item Se encuentre lejos de estaciones de materiales volátiles, estaciones de servicio (bombas de gasolina),
     43\item Se encuentre alejado de instalaciones eléctricas como radares,
     44microondas, u otro equipo que genere ondas electromagnéticas, para
     45que no influyan en el funcionamiento de los equipos de computación
     46del centro de datos.
     47
     48\item Se encuentre lejos de estaciones de materiales volátiles,
     49estaciones de servicio (bombas de gasolina),
    4350porque representan peligros por incidentes intencionados o fortuitos.
    4451
    45 \item Se encuentren en lugares no desolados o desprotegidos.
     52\item Se encuentre en lugares no desolados o desprotegidos.
    4653\end{itemize}
    4754
    … …  
    4956
    5057\begin{itemize}
    51 \item Que el terreno donde se encuentra ubicado no presente  problemas de hundimiento.
     58\item Que el terreno donde se encuentra ubicado no presente
     59problemas de hundimiento.
    5260
    5361\item Que no existan condiciones climatológicas adversas: áreas de constantes
    5462lluvias y descargas eléctricas, altas temperaturas, u otra condición similar.
    5563
    56 \item Que el centro de datos  no esté ubicado  en un área con constantes actividades sísmicas.
     64\item Que el centro de datos  no esté ubicado  en un área con
     65constantes actividades sísmicas.
    5766
    5867\item Que el centro de datos no  esté ubicado  en áreas propensas  a inundaciones.
    … …  
    7685
    7786\begin{itemize}
    78 \item Espacios amplios disponibles por la organización con todos los servicios que requiere el centro de datos.
     87\item Espacios amplios disponibles por la organización con todos
     88los servicios que requiere el centro de datos.
    7989
    8090\item El acceso a los equipos de computación y del personal al centro de datos
    … …  
    8393desde y hacia el centro de datos.
    8494
    85 \item Buen diseño de las instalaciones de suministro eléctrico, que garantice el suministro
    86 y la disponibilidad de la energía eléctrica estable, y además sea independiente del resto de
     95\item Buen diseño de las instalaciones de suministro
     96eléctrico, que garantice el suministro
     97y la disponibilidad de la energía eléctrica estable,
     98y además sea independiente del resto de
    8799las instalaciones del edificio del la institución.
    88100
    … …  
    91103podría ocasionar serios problemas al utilizar los equipos.
    92104
    93 Se requiere de la disposición de planta generadora de corriente para evitar
    94 la paralización de las actividades del centro de datos en los períodos de corte
    95 de energía eléctrica. Las características
    96 de las platas eléctricas y su instalación estará en función a las necesidades
     105Se requiere de la disposición de planta generadora de energía electrica
     106para evitar la paralización de las actividades del centro de datos
     107en los períodos de corte del suministro principal. Las características
     108de las plantas y su instalación estarán en función a las necesidades
    97109eléctricas del centro de datos.
    98110
    99 Contar con sistemas de puesta a tierra, que permitan absorber las descargas
    100 eléctricas.
    101 Por último, contar con fuentes o suministro de poder (\textit{UPS}) para proteger a los equipos electrónicos por fluctuaciones de poder.
    102 
    103 
    104 
    105 \item Se debe contar con un acondicionamiento térmico del local que controle la humedad
    106 y la temperatura requeridas por los equipos computacionales del centro de datos.
    107 
    108 \item Instalación de pisos falsos, para evitar que las descargas eléctricas
    109 afecten a los
    110 equipos por su característica conductiva, y para una óptima distribución de cableado,
    111 canaletas, aire acondicionado.
    112 
    113 \item Se debe considerar la resistencia del piso falso que soporte el peso de los
    114 equipos de computación y personal que se encuentran en el centro de datos.
    115 
    116 \item Se debe preservar las condiciones térmicas del local de los centros de datos y
    117 para evitar la entrada de cualquier sustancia extraña que pueda generar algún incidente.
    118 
    119 \item Para las paredes y techos de los centros de datos se recomienda usar
    120 pinturas plásticas lavables
     111Contar con sistemas de puesta a tierra, que permitan absorber
     112las descargas eléctricas y proteger a las personas y equipos de
     113sus efectos.
     114Por último, contar con equipo para suministro de energía ininterrumpida
     115(\textit{UPS}) para proteger a los equipos electrónicos de las
     116fluctuaciones en los parámetros del suministro de energía principal
     117y garantizar la continuidad y calidad del suministro de energía a
     118los equipos del centro de datos.
     119
     120
     121
     122\item Se debe contar con un acondicionamiento térmico del local
     123que mantenga controlada la humedad
     124y la temperatura en los rangos apropiados para el funcionamiento de
     125los equipos computacionales del centro de datos.
     126
     127\item Instalación de pisos elevados, para evitar que las descargas
     128eléctricas afecten a los
     129equipos por su característica conductiva, y para una óptima distribución
     130de cableado, canaletas, bandejas y ductos de aire acondicionado.
     131
     132\item Se debe considerar la resistencia del piso elevado
     133que soporte el peso de los equipos de computación y personal que se encuentren
     134en el centro de datos.
     135
     136\item Se debe preservar las condiciones térmicas
     137del local de los centros de datos y
     138evitar la entrada de cualquier sustancia extraña
     139que pueda generar algún incidente.
     140
     141\item Para las paredes y techos de los centros de datos
     142se recomienda usar pinturas plásticas lavables
    121143para ser limpiados fácilmente y evitar la erosión.
    122144
    123 \item La altura del techo debe estar entre los 2,70m y 3,30m para permitir la movilidad del aire dentro del centro de datos.
    124 
    125 \item Se debe contar con ductos lisos y sin desprendimiento de partículas con el paso del aire que pudiera afectar a los equipos de computación
    126 
    127 \item El cableado del centro de datos se recomienda que esté dispuesto por debajo
    128 del piso falso, ubicado de forma separada en función al tipo de cable (de alto
    129 voltaje,
    130 de bajo voltaje, de telecomunicación, y los de señales para dispositivos de detección de fuego).
    131 
    132 \item Evitar conectar múltiples dispositivos en el mismo toma corriente para evitar sobrecargas en los circuitos eléctricos del centro de datos.
     145\item La altura del techo debe estar entre los 2,70m y 3,30m
     146para permitir la movilidad del aire dentro del centro de datos.
     147
     148\item Se debe contar con ductos lisos y sin desprendimiento de
     149partículas con el paso del aire, que pudieran afectar a los
     150equipos de computación.
     151
     152\item El cableado de potencia del centro de datos se recomienda que
     153esté dispuesto por debajo del piso elevado, ubicado de forma separada
     154en función al tipo de cable (de alto voltaje, de bajo voltaje). Los cableados
     155de telecomunicaciones y los de señales para dispositivos de detección de fuego
     156es recomendable se encuentren canalizados en bandejas aéreas.
     157
     158\item Evitar conectar múltiples dispositivos en el mismo sócate de energía
     159para evitar sobrecargas en los circuitos eléctricos del centro de datos.
    133160
    134161
    … …  
    138165
    139166Los sistemas de control de acceso deben ser flexibles y confiables para
    140 controlar, supervisar, registrar y verificar los datos de acceso para permitir
     167controlar, supervisar, registrar y verificar los datos de acceso a efectos
     168de permitir
    141169el acceso del personal autorizado para ingresar a las instalaciones
    142170o áreas restringidas de la institución. Los sistema de control de acceso
    … …  
    152180el control debe ser tan estricto como en el horario normal.
    153181
    154 \item Identificar, controlar y vigilar las actividades que realizan las terceras personas
    155 durante su estadía en el centro de datos. Entre las personas que se consideran como
    156 terceras personas están los visitantes, personal de limpieza, personal de
    157 mantenimiento de los diferentes equipos.
     182\item Identificar, controlar y vigilar las actividades que
     183realizan las terceras personas
     184durante su estadía en el centro de datos. Entre las personas
     185que se consideran como terceras personas están los visitantes,
     186personal de limpieza, personal de mantenimiento de los diferentes equipos.
    158187
    159188\item Instalación de Torniquetes.
    … …  
    165194\item Utilizar detectores de movimiento.
    166195
    167 \item Utilizar tarjetas de identificación o cualquier otro mecanismo de por lo menos Nivel 2\footnote{El Nivel 2 indica que el usuario autorizado para ante un sistema de control debe presentar algo que sabe (contraseña) y algo que tiene (tarjeta)}  .
     196\item Utilizar tarjetas de identificación o cualquier otro mecanismo
     197de por lo menos Nivel 2\footnote{El Nivel 2 indica que el usuario
     198autorizado para ante un sistema de control debe presentar algo
     199que sabe (contraseña) y algo que tiene (tarjeta)}.
    168200
    169201\item Utilizar control de aperturas de puertas.
    170202
    171 \item Utilizar control de acceso mediante sistemas electrónicos con tarjetas de
    172 proximidad .
     203\item Utilizar control de acceso mediante sistemas electrónicos
     204con tarjetas de proximidad.
    173205\end{itemize}
    174206
    175207\subsection{Sistema de aire acondicionado}
    176208
    177 Los equipos modernos de computación generan grandes cantidades de calor, es por ello que se debe contar con un sistema de aire acondicionado para mantener una temperatura o clima adecuado que permita que los equipos funcionen bien. En este sentido, se tiene que considerar lo siguiente:
    178 
    179 \begin{itemize}
    180 \item Considerar los riesgos que representa los aires acondicionado, el mal funcionamiento ocasiona que los equipos sean apagados, se pueden producir incendios e inundaciones.
    181 
    182 \item El aire acondicionado debe ser exclusivo para el centro de datos por las condiciones especiales que se requieren.
    183 
    184 \item Se debe contar con aire acondicionado de respaldo, en el caso que el principal presente problemas.
     209Los equipos modernos de computación generan grandes cantidades de calor,
     210es por ello que se debe contar con un sistema de aire acondicionado para
     211mantener una temperatura o clima adecuado que permita que los equipos
     212funcionen bien. En este sentido, se tiene que considerar lo siguiente:
     213
     214\begin{itemize}
     215\item Considerar los riesgos que representan los aires acondicionado,
     216cuyo mal funcionamiento ocasiona que los equipos deban ser apagados, o se pueden
     217producir incendios e inundaciones.
     218
     219\item El aire acondicionado debe ser exclusivo para el centro de datos
     220por las condiciones especiales que se requieren.
     221
     222\item Se debe contar con aire acondicionado de respaldo, en el caso
     223que el principal presente problemas.
    185224Con esto se evita que se tengan que apagar los equipos computacionales.
    186225
    … …  
    189228computación.
    190229
    191 \item Tener los controles y las alarmas de temperatura y humedad que permitan la detección y la acción oportuna de corrección de los niveles de temperatura y humedad sin afectar los equipos de computación del centro de datos.
    192 
    193 \item Tener la suficiente capacidad de los equipos de aire acondicionado en función de las necesidades de los equipos instalados en el centro de datos y su posible tasa de crecimiento.
     230\item Tener los controles y las alarmas de temperatura y humedad
     231que permitan la detección y la acción oportuna de corrección de
     232los niveles de temperatura y humedad sin afectar los equipos de
     233computación del centro de datos.
     234
     235\item Tener la suficiente capacidad de los equipos de aire acondicionado
     236en función de las necesidades de los equipos instalados en el centro de
     237datos y su posible tasa de crecimiento.
    194238
    195239\end{itemize}
    … …  
    200244
    201245\begin{itemize}
    202 \item Los materiales de las paredes y de los techos deben ser resistentes al fuego.
     246\item Los materiales de las paredes y de los techos
     247deben ser resistentes al fuego.
    203248
    204249\item Se debe incorporar canales aislantes en los espacios físicos.
    … …  
    208253\item Se debe contar con detectores de fuego alejado del aire acondicionado.
    209254
    210 \item Las alarmas de fuego deben estar conectadas al sistema de detección temprana de humo.
     255\item Las alarmas de fuego deben estar conectadas al sistema
     256de detección temprana de humo.
    211257
    212258\item Disponer de equipos contra fuego como extintores.

  • maquetacion/capitulo2/seguridadFisicaPuestosTrabajo.tex

    rc1c9daf rf6f92c7  
    2121
    2222\item Las ubicación de los equipos  y el cableado deben ser colocados de tal
    23 manera que se evite golpes u otros hechos que puedan acarrear su daño o
    24 alteración. Los cables no pueden ser pisados ni cortados, ni se les debe colocar
     23manera que se evite golpes u otros sucesos que puedan acarrear su daño o
     24alteración. Los cables no deben ser pisados ni cortados, ni se les debe colocar
    2525otros objetos encima o contra ellos.
    2626
    … …  
    2929
    3030\item Contar con planes de mantenimiento de los equipos de los puestos de
    31 trabajos, en concordancia con las especificaciones de valores y servicios
    32 recomendados por el proveedor de los equipos. De esta manera se pueda alargar
    33 su la vida útil y se pueden detectar a tiempo fallas graves.
     31trabajo, en concordancia con las especificaciones de valores y servicios
     32recomendados por el proveedor de los equipos. De esta manera se puede alargar
     33su vida útil y se pueden detectar a tiempo fallas graves.
    3434\end{itemize}

  • maquetacion/capitulo2/seguridadLogicaCentroDatos.tex

    rc1c9daf rf6f92c7  
    2323realizadas en los equipos de computación.
    2424
    25 \item Utilizar buenas prácticas de seguridad en el uso y selección de las contraseñas (ver
     25\item Utilizar buenas prácticas de seguridad en el uso y selección
     26de las contraseñas (ver
    2627sección \ref{section:gestionDeContrasenas}).
    2728
    … …  
    3536
    3637                \item Instalar los últimos parches de seguridad y actualizaciones
    37                 publicadas por el fabricante. Convendría comprobar su correcto funcionamiento
    38                 en otra maquina de pruebas antes de su uso en la máquina de
    39 producción.
     38                publicadas por el fabricante. Conviene comprobar
     39                su correcto funcionamiento
     40                en otra maquina de pruebas antes de su uso en la máquina
     41                de producción.
    4042
    4143                \item Utilizar sólo los protocolos y servicios necesarios.
    4244
    43                 \item Activar los registros de actividades de los servidores (\textit{logs}).
     45                \item Activar las bitácoras de actividades
     46                en los servidores (\textit{logs}).
    4447
    45                 \item Disponer de una copia de seguridad completa del sistema operativo de
    46                 cada servidor tras una configuración correcta.
     48                \item Disponer de una copia de seguridad completa del
     49                sistema operativo de cada servidor tras una configuración
     50                correcta.
    4751
    48                 \item Instalar herramientas que permitan comprobar la integridad de los
    49                 archivos del sistema.
     52                \item Instalar herramientas que permitan comprobar
     53                la integridad de los archivos del sistema.
    5054
    51                 \item Modificar el mensaje de inicio de sesión para evitar que no se pueda
    52                 mostrar información sobre la configuración y recursos del sistema a un
    53                 posible atacante.
     55                \item Modificar el mensaje de inicio de sesión para evitar
     56                que no se pueda mostrar información sobre la configuración
     57                y recursos del sistema a un posible atacante.
    5458        \end{itemize}
    5559
    … …  
    5761respectivos roles y niveles de acceso a los activos de la institución
    5862
    59 \item Eliminar o bloquear inmediatamente los privilegios de acceso de los usuarios que han cambiado de área, departamento o han dejado la institución.
     63\item Eliminar o bloquear inmediatamente los privilegios de acceso de
     64los usuarios que han cambiado de área, departamento
     65o han dejado la institución.
    6066\end{itemize}

  • maquetacion/capitulo2/seguridadLogicaPuestosTrabajo.tex

    rc1c9daf rf6f92c7  
    44asignado a un miembro de la organización, el cual tiene la responsabilidad de
    55usarlo siguiendo las políticas de la organización y en particular las
    6 específicas sobre seguridad de la información. Entre las recomendaciones
     6que sean específicas sobre seguridad de la información. Entre las recomendaciones
    77referentes a controles para los puestos de trabajo se listan las siguientes:\\
    88
    99\begin{itemize}
    1010
    11 \item Determinar y clasificar el grado de criticidad de la información que se maneja en
     11\item Determinar y clasificar el grado de criticidad de la
     12información que se maneja en
    1213los sistemas de almacenamiento ubicados en los puestos de trabajo.
    1314
    14 \item Las contraseñas  de administración de los equipos computacionales sólo deben ser conocidas por las personas responsables del
    15 puesto de trabajo. La contraseña principal de acceso a cada equipo debe ser seleccionada siguiendo las recomendaciones propuestas en la
     15\item Las contraseñas  de administración de los equipos computacionales
     16sólo deben ser conocidas por las personas responsables del
     17puesto de trabajo. La contraseña principal de acceso a cada equipo
     18debe ser seleccionada siguiendo las recomendaciones propuestas en la
    1619sección \ref{section:gestionDeContrasenas}.
    1720
    … …  
    2124
    2225\item Definir políticas para generar, eliminar, y modificar las claves de
    23 usuarios en los puestos de trabajo evitando la carga de trabajo para las personas.
     26usuarios en los puestos de trabajo evitando la
     27carga de trabajo para las personas.
    2428
    25 \item Mantener el sistema operativo y aplicaciones actualizadas.
     29\item Mantener actualizados el sistema operativo y las aplicaciones.
    2630
    2731\item Utilizar herramientas y procedimientos que verifiquen la integridad y
    28 la fuente de los paquetes a instalar (mecanismos de verificación de integridad y autoría).
     32la fuente de los paquetes de software a instalar (mecanismos de verificación de
     33integridad y autoría).
    2934
    30 \item Utilizar el correo institucional con la activación de métodos criptográficos
     35\item Utilizar el correo institucional con la
     36activación de métodos criptográficos
    3137para proteger la confidencialidad e integridad de los mensajes.
    3238
Note: See TracChangeset for help on using the changeset viewer.