NORMA TECNICA PERUANA NTP-ISO/IEC 17799

GESTIN DE REDES
OBJETIVO: Asegurar la informacin en las redes y la proteccin de su infraestructura de apoyo. La gestin de la seguridad de las redes que cruzan las fronteras de la organizacin requiere una atencin que se concreta en controles y medidas adicionales para proteger los datos sensibles que circulan por las redes pblicas.

8.5.1 Controles de red Se requieren una serie de controles para alcanzar y mantener la seguridad en las redes de computadores. Los administradores de redes deberan implantar los controles y medidas requeridas para conseguir y conservar la seguridad de los datos en las redes de computadores, as como la proteccin de los servicios conectados contra accesos no autorizados. En particular, se deberan considerar los controles y medidas siguientes:

a) La responsabilidad operativa de las redes debera estar separada de la operacin de los computadores si es necesario (vase el apartado 8.1.4).

8.1.4 Segregacin de tareas

La segregacin de tareas es un mtodo para reducir el riesgo de mal uso accidental o deliberado de un sistema. Se debera considerar la separacin de la gestin o ejecucin de ciertas tareas o reas de responsabilidad para reducir las oportunidades de modificacin no autorizada o de mal uso de la informacin o los servicios.

Las organizaciones pequeas pueden considerar que este mtodo de control es difcil de lograr, pero el principio debera aplicarse en la medida en que sea posible y practicable.

Cuando la segregacin sea difcil, se considerarn otros controles como la monitorizacin de las actividades, las pistas de auditora y la supervisin de la gestin. Es importante que la auditora de seguridad y evidencias permanezca independiente.

NORMA TECNICA PERUANA NTP-ISO/IEC 17799

Se debera vigilar que ninguna persona pueda realizar por s sola ningn fraude en reas de responsabilidad nica que no sea detectable. El comienzo de un evento se debera separar de su autorizacin.

Se deberan considerar los siguientes controles:

a) Es importante segregar las actividades que requieran confabulacin para realizar un fraude, por ejemplo, lanzar una orden de compra y verificar la recepcin de la mercanca.

b) Si hay riesgo de confabulacin, se disearn controles que impliquen a dos o ms personas, reduciendo as la posibilidad de conspiracin.

b) Se deberan establecer responsabilidades y procedimientos para la gestin de los equipos remotos, incluyendo los de las reas de los usuarios.

c) Se deberan establecer, si procede, controles y medidas especiales para salvaguardar la confidencialidad y la integridad de los datos que pasen a travs de redes pblicas, as como para proteger los sistemas conectados (vanse los apartados 9.4 y 10.3). Tambin se deberan requerir controles y medidas especiales para mantener la disponibilidad de los servicios de las redes y de los computadores conectados.

9.4 Control de acceso a la red

OBJETIVO: Proteccin de los servicios de la red.

Debera controlarse el acceso a los servicios a las redes internas y externas.

Hay que asegurarse que el acceso de los usuarios a las redes y sus servicios no comprometan la seguridad de dichos servicios, por medio de: a) interfaces adecuadas entre la red de la organizacin y las redes pblicas o las privadas de otras organizaciones; b) mecanismos adecuados de autenticacin para los usuarios y los equipos; c) control de los accesos de los usuarios a los servicios de informacin.

NORMA TECNICA PERUANA NTP-ISO/IEC 17799

9.4.1 Poltica de uso de los servicios de la red Las conexiones inseguras a los servicios de la red pueden afectar al conjunto de la organizacin. Los usuarios slo deberan tener acceso directo a los servicios para los que estn autorizados de una forma especfica. Este control es particularmente importante en conexiones a aplicaciones sensibles, crticas o por usuarios conectados desde lugares de alto riesgo, por ejemplo, en reas pblicas o situadas fuera de la gestin y los controles de seguridad de la organizacin.

9.4.2 Ruta forzosa La ruta de conexin desde el terminal del usuario hasta los servidores informticos puede necesitar estar controlada. Las redes se disean con dispositivos para maximizar la comparticin de recursos y la flexibilidad de rutas. Estos dispositivos tambin abren posibilidades de accesos no autorizados a las aplicaciones o de uso no autorizado de los recursos de informacin. Estos riesgos pueden reducirse mediante controles que restrinjan la ruta de acceso desde el terminal del usuario a los servidores informticos, por ejemplo, el establecimiento de una ruta forzosa.

El objetivo de una ruta forzosa es impedir que un usuario seleccione otros caminos al margen de la ruta entre el terminal del usuario y los servidores a los que el usuario est autorizado a acceder.

Esto requiere implantar cierto nmero de medidas en distintos puntos de la ruta. El objeto es limitar las opciones de posibles rutas en cada punto de la red a elecciones predeterminas. Ejemplos de rutas forzosas son: a) utilizar lneas o nmeros de telfono dedicados; b) conectar automticamente puertos a sistemas de aplicaciones especficas o a gateways de seguridad; c) limitar las opciones de men para usuarios particulares; d) evitar los recorridos cclicos ilimitados en la red; e) forzar el uso por usuarios de redes externas de ciertos sistemas de informacin especficos y/o gateways de seguridad; f) controlar activamente las comunicaciones emitidas de origen a destino por medio de gateways de seguridad, por ejemplo, firewall;

NORMA TECNICA PERUANA NTP-ISO/IEC 17799

g) restringir el acceso a la red estableciendo dominios lgicos separados, como redes privadas virtuales para ciertos grupos de usuarios dentro de la organizacin. Los requisitos para una ruta forzada se deberan basar en la poltica de control de accesos.

9.4.3 Autenticacin de usuarios para conexiones externas Las conexiones externas son una fuente potencial de accesos no autorizados a la informacin, por ejemplo, las realizadas con sistemas de acceso por lnea telefnica y mdem. Por tanto, el acceso por usuarios remotos debera ser objeto de su autenticacin.

De los distintos mtodos de autenticacin, unos proporcionan ms proteccin que otros, as los basados en tcnicas de cifrado pueden dar una autenticacin fuerte. Es importante determinar qu nivel de proteccin es requerido a partir de una evaluacin de riesgos, lo que se necesita para seleccionar adecuadamente el mtodo de autenticacin.

La autenticacin de los usuarios remotos puede lograrse, por ejemplo, usando una tcnica criptogrfica, mecanismos de hardware o protocolos adecuados. Tambin pueden usarse lneas privadas dedicadas o un mecanismo de verificacin de la direccin del usuario en la red para asegurarse del origen de las conexiones.

9.4.4 Autenticacin de nodos de la red Los dispositivos de conexin remota automtica significan una amenaza de accesos no autorizados a las aplicaciones. Por tanto, se deberan autenticar las conexiones a sistemas informticos remotos. Esto es muy importante si la conexin usa una red cuyo control escapa a la gestin de seguridad de la organizacin. En el apartado anterior 9.4.3 se han dado varios ejemplos de autenticacin y cmo conseguirla.

9.4.7 Control de conexin a las redes Los requisitos de la poltica de control de accesos para redes compartidas, sobre todo para las que atraviesan las fronteras de la organizacin, necesitan incorporar controles que restrinjan las capacidades de conexin de los usuarios. Estos controles pueden establecerse mediante gateway que filtren el trfico entre redes por medio de tablas o reglas predefinidas. Las restricciones que se impongan se deberan basar en los

NORMA TECNICA PERUANA NTP-ISO/IEC 17799

requisitos de las aplicaciones del negocio (vase el apartado 9.1) y se deberan mantener y actualizar de acuerdo a ellos. Estas restricciones podran ser, por ejemplo: a) correo electrnico; b) transferencia de archivos en una sola direccin; c) transferencias de archivos en ambas direcciones; d) acceso interactivo; e) acceso desde la red limitado a das de la semana u horas concretas.

10.3 Controles criptogrficos OBJETIVO: Proteger la confidencialidad, autenticidad o integridad de la informacin.

Se deberan usar sistemas y tcnicas criptogrficas para proteger la informacin sometida a riesgo, cuando otras medidas y controles no proporcionen la proteccin adecuada.

10.3.1 Poltica de uso de los controles criptogrficos La decisin sobre la idoneidad de una solucin criptogrfica debera verse como parte de un proceso ms amplio de evaluacin de riesgos y seleccin de medidas de control. Se debera realizar una evaluacin de riesgos para determinar el nivel de proteccin que debera recibir la informacin. Evaluacin que luego puede utilizarse para determinar si las medidas criptogrficas son adecuadas, qu tipo de medida se debera aplicar, con qu propsito y en qu procesos del negocio.

El desarrollo de una poltica debera considerar lo siguiente: a) un enfoque de gestin del uso de las medidas criptogrficas a travs de la organizacin, incluyendo los principios generales en base a los cuales se debera proteger la informacin del negocio; b) un enfoque de gestin de claves, incluyendo mtodos para tratar la recuperacin de la informacin cifrada en caso de prdida, divulgacin o dao de las claves; c) los papeles y responsabilidades de cada cual; d) la implantacin de la poltica; e) la gestin de las claves;

NORMA TECNICA PERUANA NTP-ISO/IEC 17799

f) la forma de determinar el nivel de proteccin criptogrfica adecuada; g) las normas a adoptar para su implantacin eficaz a travs de la organizacin

10.3.2 Cifrado El cifrado es una tcnica criptogrfica que puede utilizarse para proteger la confidencialidad de la informacin. Se debera usar para la proteccin de informacin sensible o crtica.

En la implantacin de la poltica criptogrfica de la organizacin se deberan tener en cuenta las regulaciones y restricciones nacionales que se aplican en distintas partes del mundo para el uso de las tcnicas criptogrficas y el cifrado de las transmisiones internacionales de datos. Adems de los controles que se aplican a la exportacin e importacin de tecnologa criptogrfica.

Se debera contemplar el asesoramiento de especialistas para determinar el nivel apropiado de proteccin. Adems se debera contemplar, la opinin de consultores legales sobre las leyes y regulacin aplicables al uso previsto del cifrado en la organizacin.

10.3.3 Firmas digitales Las firmas digitales proporcionan un medio de proteger la autenticidad e integridad de los documentos electrnicos. Por ejemplo, se usan en el comercio electrnico cuando hay necesidad de verificar quin firma un documento electrnico y de verificar si el contenido del documento firmado ha sido cambiado.

Las firmas digitales pueden aplicarse a todo tipo de documento procesable electrnicamente, por ejemplo, para firmar pagos electrnicos, transferencias de fondos, contratos o acuerdos. Las firmas digitales pueden implantarse usando una tcnica criptogrfica basada en un nico par de claves interrelacionadas, una para crear la firma (clave privada) y otra para comprobarla (clave pblica).

Al usar las firmas digitales se debera tener en cuenta toda la legislacin relativa que describe las condiciones en las que una firma digital tiene validez legal. Por ejemplo, en el caso del comercio electrnico es importante conocer la situacin legal de las firmas digitales. Puede haber necesidad de aadir contratos u otros acuerdos con

NORMA TECNICA PERUANA NTP-ISO/IEC 17799

validez legal para dar soporte al uso de las firmas digitales cuando el marco legal no sea adecuado. Se debera contemplar el asesoramiento legal sobre las leyes y regulacin aplicables para el uso previsto de firmas digitales por la organizacin.

d) Se deberan coordinar estrechamente las actividades de gestin tanto para optimizar el servicio al negocio como para asegurar que los controles y medidas se aplican coherentemente en toda la infraestructura de tratamiento de la informacin.