1

PROGRAMA DE FORMACIN
GESTIN DE LA SEGURIDAD
INFORMATICA
Actividad de aprendizaje1:
Fundamentos de TIC, Modelos de
negocios y Seguridad informtica
CONTENIDO
Contenido
Tema 4 - Seguridad informtica ............................. 1
Objetivos de la seguridad informtica: ............... 2
Confidencialidad .................................................. 3
Autenticacin ....................................................... 3
Integridad ............................................................ 3
Proteccin a la rplica ......................................... 3
Reclamacin de origen ........................................ 3
Reclamacin de propiedad .................................. 3
No repudiacin .................................................... 4
Confirmacin de la prestacin de un servicio ..... 4
Referencia temporal (certificacin por fechas) ... 4
Autorizacin (control de acceso a equipos y
servicios) .............................................................. 4
Auditabilidad o trazabilidad ................................ 4
Disponibilidad del servicio ................................... 4
Anonimato en el uso de los servicios .................. 5
Certificacin mediante terceros de confianza ..... 5
Tcnicas y mecanismos de seguridad en las que
se puede recurrir para ofrecer los servicios de
seguridad: ............................................................ 5
Consecuencia de la falta de seguridad: ..............5
Tema 5: Elementos vulnerables en el sistema
informtico: amenazas ............................................6
Personas ...............................................................6
Amenazas lgicas ............................................7
Amenazas fsicas ..................................................8
Tema 6: Seguridad en redes ....................................8
Amenazas externas: .............................................9
Amenazas internas: .............................................9
Algunos tipos de ataques informticos en redes:
.......................................................................... 10
1. Ataque de denegacin de servicio: ............... 10
2. Man in the middle ......................................... 10
3. Ataques de REPLAY: ...................................... 10
Referencias ........................................................... 10


Tema 4 - Seguridad informtica

La seguridad informtica en los ltimos
tiempos ha tenido una mayor acogida entre
usuarios y trabajadores de las empresas
debido que en internet, se encuentran
muchos peligros, por ende ser consciente
que el mal uso del sistema o de una red
informtica puede comprometer la
confidencialidad, autenticidad o integridad
de la informacin es en la actualidad tema
de importancia, debido que puede causar
la ejecucin normal de las operaciones de
una empresa al verse bloqueado el acceso
de los usuarios autorizados en el sistema.





2
Debido a lo anterior, la norma ISO 7498
define la Seguridad Informtica como Una
serie de mecanismos que minimizan la
vulnerabilidad de bienes y recursos en una
organizacin.
1

Objetivos de la seguridad informtica:

o Minimizar y gestionar los riesgos y
detectar los posibles problemas y
amenazas a la seguridad.

o Garantizar la adecuada utilizacin
de los recursos y de las aplicaciones
del sistema.

o Limitar las prdidas y conseguir la
adecuada recuperacin del sistema
en caso de un incidente de
seguridad.

o Cumplir con el marco legal y con los
requisitos impuestos por los clientes
en sus contratos.

Para cumplir con estos objetivos, una
organizacin debe contemplar cuatro
planos de actuacin:










































Servicios de seguridad de la informacin

Para alcanzar los objetivos es necesario
contemplar los servicios de seguridad de la
informacin, estos son:
_______
1. Villarrubia, C. (Sin fecha). Seguridad y
Alta disponibilidad adopcin de pautas de
seguridad informtica. Consultado el 30 de
noviembre en:
http://arco.esi.uclm.es/~david.villa/segurida
d/pautas.2x4.pdf
Plano humano

- Sensibilizacin y formacin
- Funciones, obligaciones y
responsabilidades del personal
- Control y supervisin de los
empleados
Plano Tcnico

- Seleccin, instalacin,
configuracin y actualizacin de
soluciones Hardware y software
- Criptografa
- Estandarizacin de productos
- Desarrollo seguro de
aplicaciones
Plano Organizacional

- Polticas, normas y
procedimientos
- Planes de contingencia y
respuesta a incidentes
- Relaciones con terceros
(clientes, proveedores)
Plano legislacin

- Cumplimiento y adaptacin a
la legislacin vigente (LOPD,
LSSI, LGT, firma electrnica,
cdigo penal, propiedad
intelectual)
1
2
3
4
5
Figura 1. Gmez (2011). Planos de
actuacin en la seguridad informtica


3








































Imagen 1. Fuente: ( Landahlauts, 2011)


































Confidencialidad
- Datos almacenados en un equipo.
- Datos guardados en dispositivos de
backup.
- Datos trasmitidos a travs de redes de
comunicaciones.
Autenticacin

- De entidad (usuario o equipo)
Unilateral: cuando se
garantiza la identidad del
equipo usuario o terminal
que se intenta conectar a la
red.
Mutua: en el caso de que la
red o el servidor tambin se
autentica de cara al equipo,
usuario o terminal que
establece la conexin.
- Del origen de los datos.


Garantiza que un mensaje o fichero no
ha sido modificado desde su creacin
o durante su transmisin a travs de la
red informtica
Integridad
Proteccin a la rplica
Impide la realizacin de ataques de
repeticin (replay attacks) por parte de
usuarios maliciosos, consistentes en la
intercepcin y posterior reenvo de
mensajes para tratar de engaar al
sistema y provocar operaciones no
deseadas
Reclamacin de propiedad
Reclamacin de origen
El sistema, permite probar quien ha
sido el creador de un determinado
mensaje o documento
Permite probar que un determinado
documento o contenido digital est
protegido por derechos de autor
(cancin, video, libro) y pertenece a
un determinado usuario u organizacin
que ostenta la titularidad de los
derechos de autor.


4







































Imagen 2. Fuente: (Isaias. 2008).










































No repudiacin
Confirmacin de la prestacin de un
servicio
Referencia temporal (certificacin por
fechas)
Autorizacin (control de acceso a
equipos y servicios)
Auditabilidad o trazabilidad
Disponibilidad del servicio
Implementa un mecanismo probatorio
que permita demostrar la autora y
envo de un determinado mensaje, de
tal modo que el usuario que lo ha
creado y enviado a travs del sistema
no pueda posteriormente negar esta
circunstancia o situacin que tambin
aplica al destinatario del envo.
Confirma la realizacin de una
operacin o transaccin, reflejando los
usuarios o entidades que han
intervenido en sta.

Se consigue demostrar el instante
concreto, en que se ha enviado un
mensaje o se ha realizado una
determinada operacin.
Busca controlar el acceso de los
usuarios a los distintos equipos y
servicios ofrecidos por el sistema
informtico, una vez superado el
proceso de autenticacin de cada
usuario.

Permite registrar y monitorizar la
utilizacin de los distintos recursos
del sistema por parte de los
usuarios que han sido previamente
autenticados y autorizados.
Recuperacin del sistema frente a
posibles incidentes de seguridad, as
como frente a desastres naturales o
intencionados (incendios,
inundaciones, sabotajes), de nada
sirven los dems servicios de
seguridad si el sistema informtico, no
se encuentra disponible para que
pueda ser utilizado por su legtimo
usuario o propietario.



5

























Tcnicas y mecanismos de seguridad
en las que se puede recurrir para
ofrecer los servicios de seguridad:

o Identificacin de usuario
o Control lgico de acceso a los
recursos
o Copias de seguridad
o Centros de respaldo
o Cifrado de las transmisiones
o Huella digital de mensajes
o Sellado temporal de mensajes
o Utilizacin de la forma electrnica
o Protocolos criptogrficos
o Anlisis y filtrado de trfico
(cortafuegos)
o Servidores proxy
o Sistema de deteccin de intrusiones
(IDS)
o Antivirus

Consecuencia de la falta de seguridad:

1. Prdidas ocasionadas por horas de
trabajo invertidas en las
reparaciones y reconfiguraciones de
los equipos y redes.

2. Robo de informacin confidencial y
su posible revelacin a terceros no
autorizados.

3. Filtracin de datos personales de
usuarios registrados en el sistema.

4. Prdida de credibilidad en los
mercados, prdida de confianza por
parte de los clientes, dao a la
reputacin e imagen de la empresa.

5. Perdida de pedidos, impacto en la
calidad del servicio, retrasos en los
procesos de produccin, prdida de
oportunidades de negocio.

6. Pago de indemnizaciones por daos
y perjuicios a terceros, teniendo que
afrontar responsabilidades legales y
la imposicin de sanciones
administrativas.



Anonimato en el uso de los servicios
Certificacin mediante terceros de
confianza
Es la utilizacin de determinados
servicios dentro de las redes y
sistemas informticos, que garantizan
el anonimato de los usuarios que
acceden a los recursos y consumen
determinados tipos de servicios,
preservando de este modo su
privacidad.
Organismo que se encarga de certificar
la realizacin de diversas operaciones
adems de avalar la identidad de los
intervinientes, dotando de este modo a
las transacciones electrnicas de un
respaldo jurdico que de una mayor
seguridad a estas.


6
Tema 5: Elementos vulnerables en el
sistema informtico: amenazas

Las amenazas de un sistema informtico,
pueden provenir de diferentes fuentes,
sean estas un hacker remoto que entra al
sistema a travs de un troyano, programas
de descarga gratuita que ayuda a gestionar
fotos pero es una puerta trasera a nuestro
sistema permitiendo la entrada de espas.

Las amenazas pueden ser provocadas por:

Personas
Ultima instancia de personas que
intencionada o inintencionadamente
causan enormes prdidas, por lo general
se conocen como piratas que intentan
conseguir el mximo nivel de privilegio a
travs de agujeros del software.








Imagen 3. Fuente: (Lobo, 2006)

Hay diferentes tipos de personas que
pueden constituir un riesgo para nuestros
sistemas y que se dividen en dos grupos:

Los atacantes pasivos: aquellos que
fisgonean por el sistema pero no lo
modifican o destruyen caso contrario a los
atacantes activos que daan el sistema
del objetivo atacado o lo modifican a su
favor.

En ese orden de ideas esta:

El personal: nadie mejor que el
propio personal de la organizacin
para conocer el sistema y sus
debilidades.

Ex empleados: personas
descontentas con la organizacin
que pueden aprovechar debilidades
de un sistema que conocen
perfectamente, pueden insertar
troyanos, bombas lgicas, virus o
simplemente conectarse al sistema
como si an trabajaran para la
organizacin, conseguir el privilegio
necesario y daarlo de la forma que
deseen incluso chantajeando a sus
ex compaeros o ex jefes.

Curiosos: atacantes ms habituales
del sistema simplemente para
comprobar que es posible romper la
seguridad de un sistema concreto,
aunque en su mayora se trata de
ataques no destructivos no
benefician en absoluto al entorno de
fiabilidad que se pueda generar en
un determinado sistema.

Hacker: trmino para describir un
experto en programacin, es
utilizado con frecuencia con un
sentido negativo, para describir a
una persona, que intenta obtener
acceso no autorizado a los recursos
de la red con intencin maliciosa,
aunque no siempre tiene que ser
esa su finalidad.

Cracker: describe una persona que



7
intenta obtener acceso no
autorizado a los recursos de la red
con intencin maliciosa.

Intrusos remunerados: piratas con
gran experiencia en problemas de
seguridad y un amplio conocimiento
del sistema que son pagados por
una tercera persona generalmente
para robar secretos o simplemente
para daar la imagen, de la entidad
afectada.




Imagen 4. Fuente: (Lobo, 2006)

Amenazas lgicas
En estas, se encuentran todo tipo de
programas que pueden daar al sistema,
estos programas, son creados de forma
intencionada para ello (software malicioso
conocido como malware) o por error (bugs
o agujeros). Entre esos estn:

Software incorrectos: errores de
programacin denominados bugs,
los programas utilizados para
aprovechar uno de estos fallos y
atacar al sistema, se llaman
exploits.

Herramientas de seguridad:
cualquier herramienta de seguridad
representa un arma de doble filo: de
la misma forma que un
administrador las utiliza para
detectar y solucionar fallos en sus
sistema o en la subred completa, un
potencial intruso las puede utilizar
para detectar esos mismo fallos y
aprovecharlos para atacar los
equipos.

Puertas traseras: atajos que los
programadores insertan en el
desarrollo de aplicaciones grandes o
sistemas operativos para la
autenticacin del programa o del
ncleo que se est diseando.

Bombas lgicas: parte de cdigo de
ciertos programas que permanecen
sin realizar ninguna funcin hasta
que son activadas, generalmente se
trata de una accin perjudicial.

Canales cubiertos u ocultos: canales
de comunicacin que permiten
transferir informacin sea local o de
forma remota, de forma que viole la
poltica de seguridad del sistema.

Virus: secuencia de cdigo que se
inserta en un fichero ejecutable
(denominado husped) de forma
que cuando el archivo se ejecuta, el
virus tambin lo hace, insertndose
a s mismo en otros programas.

Gusanos: programa capaz de
ejecutarse y propagarse por si
mismo a travs de redes portando
virus o aprovechando bugs de los
sistemas a los que conecta para
daarlos.



8
Caballos de troya: son instrucciones
escondidas en un programa de
forma que ste parezca realizar las
tareas que un usuario espera de l
pero que realmente ejecute
funciones ocultas (generalmente en
detrimento de la seguridad) sin el
conocimiento del usuario.

Programa conejo o bacterias:
programas que no hacen nada til,
sino que simplemente se dedican a
reproducirse hasta que el nmero
de copias acaba con los recursos
del sistema (memoria, procesador,
disco) produciendo una negacin
de servicio.



Imagen 5. Fuente:
(Salinas, 2007)

Amenazas fsicas
Son aquellas que pueden afectar a la
seguridad y por tanto al funcionamiento de
los sistemas, estos son:

Robos, sabotajes, destruccin de
sistemas

Cortes, subidas y bajadas bruscas
de suministro elctrico

Condiciones atmosfricas adversas.
Humedad relativa excesiva o
temperaturas extremas que afecten
al comportamiento normal de los
componentes informticos

Las catstrofes (naturales o
artificiales) amenazas menos
probables contra entornos
habituales simplemente por su
ubicacin geogrfica


Tema 6: Seguridad en redes

Personas y organizaciones dependen en la
actualidad de sus computadoras. Las
herramientas de correo electrnico,
administracin de archivos, contabilidad y
gestin de la informacin, resultan de vital
importancia en una empresa. Debido a
esto, las intrusiones de personas no
autorizadas en la red causan
interrupciones costosas y perdidas de
trabajo.
De estos ataques, surgen cuatro tipos de
amenazas:
Robo de informacin
Robo de identidad
Perdida y manipulacin de datos
Interrupcin del servicio


9

Imagen 6. Fuente: Arana. (2010)

Las amenazas de seguridad causadas por
intrusos en la red, pueden originarse tanto
en forma interna como externa
Amenazas externas: provienen de
personas que trabajan fuera de una
organizacin. Estas personas, no tienen
autorizacin para acceder al sistema o a la
red de la computadora. Los atacantes
externos logran introducirse en la red
principalmente desde internet, enlaces
inalmbricos o servidores de acceso por
marcacin o dial-up
Amenazas internas: se originan cuando
una persona cuenta con acceso autorizado
a la red a travs de una cuenta de usuario
o tienen acceso fsico al equipo de la red.
Un atacante conoce la poltica interna y las
personas. Por lo general conocen
informacin valiosa y vulnerable y saben
cmo acceder a esta.

Imagen 7. Fuente: Arana. (2010).
Muchas de las organizaciones destinan
dinero para defenderse contra los ataques
externos y no tienen presente que la mayor
parte de las amenazas son de origen
interno. Para un intruso obtener acceso
interno o externo, lo hace, aprovechando
las conductas humanas. Este es un
mtodo comn de explotacin de las
debilidades humanas que se le denomina
ingeniera social
En el contexto de la seguridad de
computadoras y redes, la ingeniera social
hace referencia a una serie de tcnicas
utilizadas para engaar a los usuarios
internos a fin de que realicen acciones
especficas o revelen informacin
confidencial. Se les considera uno de los
enlaces ms dbiles en lo que se refiere a
la seguridad.
La concepcin de soluciones de seguridad
de red, comienza con una evaluacin del
alcance completo de los delitos
informticos.
Los denunciados, que tienen implicaciones
en la seguridad de la red y tienen ms


10
frecuencia son:
Abuso del acceso a la red por parte
de personas que pertenecen a la
organizacin.
Virus.
Suplantacin de identidad en los
casos en los que una organizacin
est representada de manera
fraudulenta como el emisor.
Uso indebido de la mensajera
instantnea.
Denegacin del servicio, cada de
servidores.
Acceso no autorizado a la
informacin.
Robo de informacin de los clientes
o de los empleados.
Abuso de la red inalmbrica.
Penetracin en el sistema.
Fraude financiero.
Deteccin de contraseas.
Registro de claves.
Alteracin de sitios web.
Uso indebido de una aplicacin web
publica.
Algunos tipos de ataques informticos en
redes:
1. Ataque de denegacin de servicio:
tambin llamado DoS (Deny of Service)
es un ataque a un sistema de
computadoras o red que causa que un
servicio o recurso sea inaccesible a los
usuarios legtimos, provocando la
perdida de la conectividad de las red
por el consumo del ancho de banda de
la red de la vctima o sobrecarga de los
recursos computacionales del sistema
de la victima
2. Man in the middle: A veces abreviado
MitM, es una situacin donde el
atacante supervisa (generalmente
mediante un rastreador de puertos) una
comunicacin entre dos partes y
falsifica los intercambios para hacerse
pasar por una de ellas
3. Ataques de REPLAY: una forma de
ataque de red, en el cual una
transmisin de datos valida, es
maliciosa o fraudulenta repetida o
retardada.
Referencias

COSTAS, S. Jess, Seguridad
Informtica. Editorial Ra-Ma. Espaa 2011.

GOMEZ V., lvaro, Seguridad informtica:
Bsico. Ecoe Ediciones, Bogot 2011.

Villarrubia, C. (Sin fecha). Seguridad y
Alta disponibilidad adopcin de pautas de
seguridad informtica. Consultado el 30 de
noviembre en:
http://arco.esi.uclm.es/~david.villa/segurida
d/pautas.2x4.pdf





11

CONTROL DE DOCUMENTO

















Autores Nombre Cargo Dependencia Fecha
Expertos temticos Jenny Marisol
Henao Garcia
Experta Temtica


Sena - Centro de
Diseo e Innovacin
Tecnolgica Industrial
Regional Risaralda.

Diciembre 12 de
2013
Yuly Paulin Saenz
Agudelo
Experta Temtica

Sena - Centro de
Diseo e Innovacin
Tecnolgica Industrial
Regional Risaralda.

Diciembre 12 de
2013
Revisin John Jairo
Alvarado Gonzlez
Guionista Sena - Centro de
Diseo e Innovacin
Tecnolgica Industrial
Regional Risaralda.

Diciembre 17 de
2013
Andrs Felipe
Valencia Pimienta
Lder lnea de
produccin
Sena - Centro de
Diseo e Innovacin
Tecnolgica Industrial
Regional Risaralda
Diciembre 17 de
2013


12
CRDITOS

Equipo Lnea de Produccin, SENA
Centro de diseo e innovacin
tecnolgica industria, Dosquebradas

Lder lnea de produccin:
Andrs Felipe Valencia Pimienta

Apoyo lnea de produccin:
Carlos Andrs Mesa Montoya

Asesor pedaggico:
Edward Abilio Luna Daz

Elaboracin de contenidos expertas
temticas:
Yuly Pauln Senz Giraldo
Yenny Marisol Henao Garca

Guionistas:
John Jairo Alvarado Gonzlez
Gabriel Gmez Franco


Diseadores:
Lina Marcela Cardona
Mario Fernando Lpez Cardona

Desarrolladores Front End:
Julin Giraldo Rodrguez
Ricardo Bermdez Osorio
Cristian Fernando Dvila Lpez