Riesgos y seguridad I Posibles riesgos |
|
Si se roba información pero no se destruye, las consecuencias son económicas o sobre la intimidad de las personas.
Como objetivo de Auditoría se plantea: revisar los procedimientos apropiados de seguridad y los dispositivos de cierre para evitar el acceso no autorizado, determinar si las puertas y ventanas están construidas de modo adecuado e identificar la cantidad mínima necesaria de puertas y ventanas.
Ejemplo de cuestionario
de Auditoría 1. El centro de computación
es un objetivo poco probable para delincuentes?
17. Las terminales están
localizadas en áreas seguras para prevenir el acceso a
las mismas por usuarios no autorizados?
26. Los accesos a los archivos de datos y programas de aplicación están restringidos por uno o todos los siguientes métodos:
27. A todos los empleados o
visitantes al centro de computador o a otras áreas sensitivas
se les exige identificación positiva en forma de escarapelas
(badges) o carnets con la foto del individuo, nombre, posición
y departamento? |
Como medidas de seguridad activa podemos destacar la autentificación de usuarios, mediante uso de claves u otras más sofisticadas como huella dactilar. Es importante la elección correcta de las palabras clave. Que cada usuario pueda acceder solo a la información que utiliza. Que el sistema operativo avise al administrador cuando se produzcan determinadas anomalías. Utilizar programas que bloquean el acceso al terminal cuando el usuario está ausente. Utilizar canales de transmisión de información seguros o cifrado de datos.
Para evitar el robo a los equipos, se puede restringir el acceso físico a los equipos o utilizar cadenas.
La seguridad informática y el robo de la información en Internet es un aspecto fundamental cuando una empresa opta por abrir sus ordenadores al exterior. Lógicamente a la empresa le interesa que el público acceda solo a unos equipos o a unos datos, pero no al resto.
Los intrusos -empleados, antiguos empleados, clientes, competidores, hackers- disponen de muchas herramientas para violar los sistemas de seguridad, como, por ejemplo, Crack -para averiguar contraseñas- SATAN siglas de Security Administrator's Tool for Analyzing Networks -diseñada en origen para ayudar a los administradores a detectar los puntos débiles, pero al final usada más por los hackers.
La empresa puede instalar cortafuegos, que dividen a la red en zonas a las que se puede acceder y a las que no.
Firewall: los cortafuegos
de los sistemas de información ¿Cómo funciona? Pensemos en una montaña en la que entran y salen coches por distintos túneles. Podríamos poner controles que limitaran el tráfico, por ejemplo todos los camiones por un tunel determinado u otras. De forma parecida un ordenador sería como una caja por la que entra y sale información por determinados "puertos", información que puede ser un correo electrónico, una página web, etc. El cortafuegos funciona con reglas o filtros que establece el administrador de seguridad de la empresa o incluso un usuario con su ordenador personal. Por poner un ejemplo sencillo, una regla podría ser que no dejara entrar correo electrónico con documentos atacheados o que todos los documentos atacheados pasaran por un antivirus o que por un determinado puerto no puedan entrar datos, sólo salir. Más información en Canalsw (http://www.canalsw.com/especiales/firewall/1.asp?ic=4) |
Un ejemplo de cortafuegos con versión gratuita es ZoneAlarm (http://www.zonealarm.com), Outpost (http://www.agnitum.com/products/outpost) y Tiny Personal Firewall (http://www.tinysoftware.com).
ZoneAlarm: un firewall
gratuito Recomendamos el documento: Aprenda a instalar ZoneAlarm, por David Raikow (http://zdnet.terra.com.hn/sp/helptips/stories/guides/1,,8015834-1,00.html). |
Como medida de seguridad pasiva para actuar tras el robo de la información, podemos cifrar los documentos.
También se recomienda consultar los registros de auditoría, que permite establecer un control sobre quién está en el sistema, qué hace cada usuario o quien utiliza cada recurso. Es una medida persuasoria.
En cuanto al robo de los equipos, al menos disponer de copias de seguridad para restablecer los datos en un nuevo equipo. También se puede tener equipos de reserva que pueda estar operativo en pocas horas, marcar los equipos para su posterior identificación o persuadir al ladrón, asegurarlos, anotar modelos y números de serie y controlar la presencia mediante cámaras de vigilancia o control de accesos.
Sicario: "Antirrobo" de ordenadores basado en internet Sicario, (http://www.sicure.com/sicario), 5 de febrero de
2002 Cuando usted (o el "ladrón") se conecte a internet, y durante una fracción de segundo, se enviará a uno de nuestros servidores un código identificando su ordenador. En nuestros servidores quedará constancia de su dirección IP de internet (como por ejemplo 212.20.10.44) y la fecha y hora de la comunicación. Con estos datos, junto al código que identifica al ordenador, es posible formular una denuncia por robo en una comisaría de policía. |
Citar como: Serrano Cinca C. (2003): "Riesgos y seguridad en los sistemas de información", [en línea] 5campus.org, Sistemas Informativos Contables <http://www.5campus.org/leccion/buscar> [y añadir fecha consulta] |
[Índice] |
---|