PLAN DE SEGURIDAD

INFORMÁTICO
REDES INFORMÁTICAS

Materia Redes Informáticas - Lic. en Sistemas de Información de las Organizaciones FCE UBA
 Plan de Seguridad Informático
• Es un elemento que refleja el nivel de administración de la
organización.

• Permite proteger los datos y las aplicaciones críticas del

negocio.

• El Plan de Seguridad Informático debería crearse,

implementarse y luego ponerse a prueba.

• Dado el dinamismo del negocio, el plan debería

actualizarse ante incorporaciones de hardware y software.
 Pasos
Relevamiento e Identificación de Activos a
Proteger:
• Recursos Humanos,
• Datos,
• Hardware,
• Software: Sistemas Operativos, Bases de Datos,
Aplicaciones.
• Ubicado en las sedes de las empresas, como en
servicios externos como alojamiento web.
 Pasos
Relevamiento e Identificación de Activos a
Proteger:
 Pasos
Evaluación de riesgos:
La evaluación de riesgo identifica situaciones que
podrían tener un impacto negativo en los procesos
críticos, e intenta cuantificar su gravedad y
probabilidad.
• Accesos físicos no autorizados a las instalaciones.
• Problemas ambientales.
• Accesos lógicos no autorizados a los datos.
• Virus informáticos.
• Daños físicos.
• Errores de los empleados.
 Pasos
Priorización de activos a proteger:

Evaluado el daño potencial de cada amenaza y la

probabilidad que se produzca, fijar prioridades de
protección:
Aplicaciones
Servidores
Routers
Switchs
Puestos de Trabajo claves
Centrales Telefónicas
Otros Dispositivos
 Pasos
Lograr la aprobación de la Dirección

Presentar la propuesta a la Dirección y lograr la

aprobación y acompañamiento en la implementación
del Plan de Seguridad Informático.
 Pasos
Tomar las precauciones adecuadas
y documentarlas:
• Hardware de Backup.

• Políticas de resguardo y recuperación de los datos.

• Configuraciones documentadas y actualizadas de los

Servidores y de Dispositivos de Telecomunicaciones.

• Diagrama de los enlaces de telecomunicaciones.

• Verificación del estado de los backups. Restauración.

• Medición del tiempo de reinstalación y puesta en

línea de Servidores y de Disp.de Telecomunicaciones.

 Pasos
La documentación se transforma en:

PLAN DE SEGURIDAD INFORMATICO.

PLAN DE CONTINGENCIA ó

PLAN DE RECUPERACION ANTE DESASTRES.

 Pasos
Plan de Contingencia o Plan de Recuperación ante
Desastres

• Aplica a:
• Servidores de Aplicaciones
• Servidores de Información
• Servicios de Correo Electrónico
• Servicios de Páginas Web
• Capacidad de Impresión
• Enlaces de Telecomunicaciones
 Pasos
Plan de Contingencia o Plan de Recuperación ante
Desastres

• Implica:
Planificar la duplicación de los elementos que se
puedan afectar ya sea en modo local o en forma
externa.

Recuperación de datos que estén resguardados.

Reinstalación de servidores y dispositivos de

telecomunicaciones.
 Pasos
Plan de Contingencia o Plan de Recuperación ante
Desastres
 Pasos
Comunicación del Plan y Ejecución

• Comunicar a todo el personal, identificando usuarios

claves con tareas claves. Los usuarios responsables de
implementar lo planificado deberán disponer de tiempo
y de recursos para aplicar lo previsto en el Plan.

• Establecer políticas de seguridad y formar a todo el

personal para minimizar las vulnerabilidades de
seguridad.

• Establecer un calendario para poner en marcha las

medidas del plan.
 Pasos
Mantenimiento del Plan

• Periódicamente actualizar los planes, en particular

cuando se incorpora nuevo hardware o software.

• Asegurarse de actualizar regularmente las protecciones

contra virus y malware..

• Estar informado de las vulnerabilidades de seguridad

emergentes.

• Identificar nuevas vulnerabilidades de seguridad a

través del Test de Penetración y tomar las acciones
correctivas de surjan.
 Pasos
Test de Penetración

Comprobación de la seguridad de los sistemas

informáticos y los servicios que se brindan para detectar

las fallas de seguridad, emitiendo posteriormente un

informe sobre el estado de vulnerabilidad y las medidas

correctivas a aplicar.
 Pasos
Test de Penetración

Se analizan:
• Vulnerabilidad de los Servidores.
• Vulnerabilidades del Software y sus configuraciones.
• Auditoría de estaciones de trabajo y cuentas de
usuario.
• Auditoría de aplicaciones.
• Auditoría de telecomunicaciones e infraestructuras.
• Revisión de políticas de seguridad actualmente
implantadas.
 Pasos
Test de Penetración
Modelo de Defensa en Profundidad
de Microsoft
 Modelo de Defensa en Profundidad
de Microsoft
Uso de Capas:

Plantea la concepción de la seguridad como el efecto

de una eficiente administración del riesgo, y propone
una estructura definida en capas en las cuales se
pueden implementar acciones estratégicas para
asegurar cada una de estas capas.
 Modelo de Defensa en Profundidad
de Microsoft
Uso de Capas:

En el caso que una amenaza logrará filtrar la

seguridad de alguna de estas capas, la siguiente
capa, contara son sistemas de protección diferente
y a otro nivel, logrando así mitigar los riesgos y
evitar que el ataque pase a una siguiente etapa.
 Modelo de Defensa en Profundidad
de Microsoft
Capas en las cuales se pueden definir estrategias acordes a la
naturaleza de los posibles riesgos que hay en cada una.

Cada acción de protección tiene un costo, por lo que en cada caso

en particular debe evaluarse el valor de la información a proteger.
 Modelo de Defensa en Profundidad
de Microsoft

Ejemplo de resumen de acciones o estrategias que

podrían aplicarse en cada una de las capas:

** Nivel de directivas, procedimientos y

concienciación: programas educativos de seguridad
para los usuarios.

** Nivel de seguridad física: guardias de seguridad,

bloqueos y dispositivos de seguimiento.
 Modelo de Defensa en Profundidad
de Microsoft
(Continuación):

** Nivel perimetral: servidores de seguridad de

hardware, software o ambos, y creación de redes
privadas virtuales con procedimientos de cuarentena.

** Nivel de red de Internet: segmentación de red,

Seguridad IP (IPSec) y sistemas de detección de
intrusos de red
 Modelo de Defensa en Profundidad
de Microsoft
(Continuación):

** Nivel de host: prácticas destinadas a reforzar los

servidores y clientes, herramientas de administración
de revisiones, métodos seguros de autenticación y
sistemas de detección de intrusos basados en hosts.

** Nivel de aplicación: prácticas destinadas a reforzar

las aplicaciones y el software antivirus

** Nivel de datos: listas de control de acceso (ACL) y

cifrado.
 TEMAS A INCORPORAR AL FINALIZAR ESTAS TRANSPARENCIAS

Beneficios del Plan de

Seguridad Informática
PSI
Pasos para desarrollar
un PSI.

Características de un
Test de Penetración Modelo de Defensa
sugerido por Microsoft

Materia Redes Informáticas - Lic. en Sistemas de Información de las Organizaciones FCE UBA
 ¡PREGUNTAS!

Materia Redes Informáticas - Lic. en Sistemas de Información de las Organizaciones FCE UBA