http://es.scribd.

com/doc/21156297/16/PLAN-DESEGURIDAD-INFORMATICA
PLAN DE SEGURIDAD INFORMTICA
Efectuaremos para la Secretara de la Facultad de Administracin Finanzas e
Informtica, en donde definiremos los lineamientos para promover la
planeacin, el diseo e implantacin de un modelo de seguridad en la
misma con el fin de establecer una cultura diferente en el
departamento de secretara. As mismo, obliga a redactar sus
procedimientos de seguridad, los cuales deben estar enmarcados por
este plan.
ANTECEDENTES
Hemos detectado que el departamento de Secretara no cuenta con
un plan de Seguridad Informtica por lo cual est susceptible a
amenazas, tanto Humanas como Desastres Naturales.
ALCANCE
Este documento se aplica para los empleados que laboran en
Secretara de la Facultad, el departamento de Sistemas de la
Universidad, as como a los Administradores, y personal externo que
tenga acceso a la informacin proporcionada por secretara.
VIGENCIA
El presente Plan de Seguridad Informtica es de aplicacin a partir
que sea autorizado por el Consejo Directivo de la Facultad de
Administracin Finanzas e Informtica.
CONTENIDO
Este Plan presenta las polticas de Seguridad Informtica cuyo
contenido se agrupa en los siguientes aspectos:
1.
2.
3.
4.
5.
6.

Seguridad Fsica
Lgica
Seguridad en las Comunicaciones
Seguridad de las Aplicaciones
Administracin del Centro de Cmputos
Auditoras y Revisiones.
SEGURIDAD FISICA

EQUIPAMIENTO
Deber existir una adecuada proteccin fsica y mantenimiento
permanente de los equipos e instalaciones que conforman los activos
de la empresa.

CONTROL DE ACCESO FSICO AL DEPARTAMENTO DE SECRETARA

Se deber restringir el acceso fsico al departamento a toda
persona no autorizada, para reducir el riesgo de accidentes y
actividades fraudulentas, adems se identifiquen y sean
autenticados y autorizados para entrar.
Se debern utilizar sistemas de monitoreo automticos o
manuales, que controlen el departamento y su ingreso
constantemente.
El Departamento de sistemas de la Universidad Tcnica de
babahoyo donde se encuentran los servidores, el switch central
y dems equipamiento crtico solo debe tener permitido el
acceso a los administradores.
El personal de los centros de procesamiento as como el
personal contratado slo podr permanecer en las instalaciones
de las empresas durante el horario autorizado.
Se deber establecer un procedimiento de autorizacin para el
personal que deba permanecer fuera de su horario habitual de
trabajo.
Se debe realizar un adecuado mantenimiento y prueba de los
procedimientos para la restriccin de acceso fsico, as como de
los dispositivos de seguridad para la prevencin, deteccin y
extincin del fuego.
Contratar guardias de seguridad para controlar el acceso al
departamento.
CONTROL DE ACCESO A EQUIPOS
Los lectores de memoria, puertos Usb, CD debern
deshabilitarse en aquellas mquinas en que no se necesiten.
Las PCs del departamento debern tener un password de
administrador en el BIOS, que deber gestionar el
administrador del sistema.
Los servidores debern tener una llave de bloqueo de
hardware.
Cualquier dispositivo externo que no se encuentre en uso,
deber permanecer
guardado bajo llave dentro
del
departamento.
Los gabinetes donde se ubican los switches debern
permanecer guardados bajo llave, y fuera del alcance de
personal no autorizado.
El administrador o algn encargado del departamento de
Sistemas de la Universidad designado por l, deber realizar
chequeos peridicos para comprobar:
La correcta instalacin de los dispositivos de los equipos, o su
buen funcionamiento, o sus nmeros de series corresponden
con los datos registrados por el administrador al momento de la
instalacin.
Los servidores debern apagarse automticamente una vez que
han cerrado los departamentos de la Universidad.
DISPOSITIVOS DE SOPORTE

 Debern existir los siguientes dispositivos de soporte en la

empresa:
Aire acondicionado en el departamento de secretara la
temperatura debe mantenerse entre 19 C y 20 C.
Extintores de Incendio: debern ser dispositivos qumicos y
manuales que cumplan las especificaciones para extinguir
incendios en equipos elctricos de computacin, debern estar
instalados en lugares estratgicos de la empresa, el centro de
cmputos deber contar con uno propio ubicado en la
habitacin de los servidores.
Alarmas contra intrusos: debern contar con una alarma que se
active en horarios no comerciales. sta deber poder activarse
manualmente en horarios laborales ante una emergencia.
Generador de energa: deber existir un generador de energa
que se pondr en marcha cada vez que haya problemas con el
suministro de energa elctrica o avisos de cortes de luz.
UPS: (Uninterruptible power supply) deber existir al menos un
UPS en el departamento que atienda a los servidores, con
tiempo suficiente para que se apaguen de forma segura.
Descarga a tierra: debern existir mtodos de descarga a tierra
independiente para el departamento.
Todos estos dispositivos debern ser evaluados peridicamente
por personal de mantenimiento.
Deber existir una llave de corte de energa general en la salida
de emergencia.
Debern existir procedimientos detallados a seguir por el
personal en caso de emergencias, indicando responsables,
quines deben estar adecuadamente capacitados.
ESTRUCTURA DEL DEPARTAMENTO
El Departamento de secretara deber ubicarse en un piso superior
del edificio, puesto que se encuentra en lugar bajo y puede darse el
caso de inundacin. Debe tener protecciones contra ruidos e
interferencias electromagnticas y visuales.
Todas las salidas hacia el exterior del debern estar protegidas con
rejas y mtodos que impidan la visin.
Los cubculos para cada secretario de escuela deberan estar divididos
con algn mtodo que impida la visin.
CABLEADO ESTRUCTURADO
El cableado debe seguir las normas del cableado estructurado,
que garantizan el funcionamiento eficiente de la red.
Si el tendido del cableado se terceriza, el departamento de
Sistemas encargado debe prestar garantas escritas sobre su
trabajo.
Se deber documentar en planos los canales de tendidos de
cables y las bocas de red existentes.

 Debe existir tendido de cableado redundante para futuros

puestos de trabajo. Estos cables no deben tener bocas de red
instaladas.
Deber medirse peridicamente el nivel de interferencia que
existe en la red. Si este nivel excede un mnimo permitido,
debern tomarse las acciones correctivas necesarias.
Deber medirse peridicamente nivel de ancho de banda de red
ocupado. Si este nivel excede un mnimo permitido, debern
tomarse las acciones correctivas necesarias.
En el caso de ocurrir esta contingencia con la continuidad del
servicio de red, deber existir un sistema informtico off line
para el departamento.
Deber existir un procedimiento manual de respaldo para
realizar las tareas cotidianas.
Ante un corte del suministro de energa elctrica debern
apagarse los equipos del departamento de forma segura, como
medida de prevencin.
SEGURIDAD LGICA
Los usuarios del sistema acadmico deben poder logearse
solamente desde las terminales que se encuentren en el
departamento y en una terminal especfica y habilitada por
cada Escuela.
El administrador del sistema deber realizar un chequeo
mensual de los usuarios del sistema, comprobando que existen
solo los usuarios que son necesarios y que sus permisos sean
los correctos.
Para dar de baja un usuario deber existir un procedimiento
formal por escrito, a travs del cual los datos del usuario no se
eliminarn sino que se actualizar el estatus del usuario a
inactiva, quedando estos datos registrados en el histrico.
Adems, se debe llevar a cabo una poltica de desvinculacin
del personal, a travs de la cual se quitan permisos al
empleado paulatinamente, evitando un posible acto de
vandalismo por insatisfaccin con la decisin de la Empresa.
El sistema deber finalizar toda sesin interactiva cuando la
terminal desde donde se est ejecutando no verifique uso
durante un perodo de cinco minutos, deber bloquear al
usuario.
Las PCs deben tener instalado un protector de pantalla con
contrasea
Los usuarios del sistema solamente podrn abrir una sesin de
cada aplicacin,y no podrn abrir dos sesiones del mismo men
en diferentes terminales ni en la misma terminal.

 Se deber impedir la existencia de perfiles de usuarios invitados

en los sistemas operativos y en el sistema informtico del
departamento.
Deber existir un administrador total del sistema
Los administradores que realizan tareas de mantenimiento,
debern tener otro perfil, con un nivel de acceso menor,
denominado mantenimiento, para ser utilizado en tareas
cotidianas que no requieran privilegios de sper usuario.
AUTENTICACIN
La pantalla de logeo del sistema deber mostrar los siguientes
datos:
nombre de usuario, password, opcin para cambiar la clave.
Mientras el usuario est ingresando su contrasea , esta no
debe ser mostrada por pantalla.
Cuando el usuario logra logearse al sistema debern mostrase
los siguientes datos: nombre de usuario, fecha y hora de la
ltima conexin, localizacin de la ltima conexin (Ej. nmero
de terminal),
cantidad de intentos fallidos de conexin de ese ID de usuario
desde la ltima conexin lograda.
La aplicacin para administrar los datos de usuarios solo deber
ejecutarse en mquinas designadas del centro de cmputos.
Debern encriptarse: la lista de control de accesos, los
passwords y datos de las cuentas de usuarios, los datos de
autenticacin de los usuarios mientras son transmitidos a
travs de la red.
PASSWORD
Los passwords debern tener las siguientes caractersticas:
conjunto de caracteres alfa-numrico, longitud mnima de 6 y
mxima de 10 caracteres. El password deber inicializarse como
expirado para obligar el cambio.
La fecha de expiracin del password deber ser de tres meses.
El sistema exigir automticamente el cambio, una vez
cumplido el plazo.
El password no deber contener el nombre de la empresa, el
nombre del usuario, ni palabras reservadas.
Bloquear el perfil de todo usuario que haya intentado acceder al
sistema en forma fallida por ms de tres veces consecutivas.

 El usuario debe poder modificar su password cuantas veces

considere necesario, sin seguir ningn procedimiento formal de
aviso.
Si un usuario olvida el password, la aplicacin no deber
mostrarle el password al administrador, y permitir que el
usuario ingrese uno nuevo desde su terminal luego de
responder a la pregunta de seguridad, la prxima vez que
intente logearse.
SEGREGACIN DE FUNCIONES
El rea de sistemas debe encontrarse ubicada en el
organigrama de la empresa en una posicin tal que garantice la
independencia necesaria respecto de las reas usuarias.
CONTROL DE ACCESO A DATOS
Los datos de entrada y salida del sistema debern poseer
controles donde se verifique su integridad, exactitud y validez.
Los datos de salida del sistema del departamento deben
restringirse con controles lgicos, de acuerdo a los permisos de
acceso.
Debern protegerse con controles de acceso las carpetas que
almacenen los archivos de las aplicaciones, y solo el
administrador de sistemas tendr acceso a ellas.
HORARIO
Se deber utilizar un programa de sincronizacin horaria en
todo el entorno de red, para asegurar la consistencia de los
datos de las aplicaciones.
MODIFICACIONES Y CAMBIOS A LOS SISTEMAS
Deber utilizarse un plan detallado de sistemas, donde se
definan las asignaciones de recursos, el establecimiento de
prioridades y responsabilidades, la administracin de tiempos y
la utilizacin de mtricas de software. Esta norma deber
aplicase tanto para el desarrollo de las aplicaciones como para
las modificaciones que se realicen.
Antes de realizar alguna modificacin en el sistema, deber
realizarse un anlisis del impacto de este cambio.
Se deber implementar una gestin de configuracin, y debern
documentrselos cambios desarrollados en las aplicaciones.
Deber existir un documento formal de solicitud de cambios,
donde quede reflejado el motivo y la solicitud del cambio, all se
agregarn los requerimientos de seguridad necesarios,
definidos por el
responsable de la informacin y el
administrador de sistemas. La documentacin de los cambios

debe incluir: sistema que afecta, fecha de la modificacin,

desarrollador que realiz el cambio, empleado/docente que
solicit el cambio, descripcin global de la modificacin.
El formulario anterior se utilizar para actualizar la
documentacin del desarrollo y de los distintos manuales
generados.
Debern realizarse pruebas del software desarrollado, para esto
se generarn planes y escenarios de prueba y se documentarn
los resultados.
Todo nuevo desarrollo o modificacin deber estar probado y
aprobado
Por los usuarios del mismo antes de su instalacin en el
ambiente de trabajo.
La metodologa para el desarrollo y mantenimiento de sistemas
debe contemplar una revisin de post-implantacin del sistema
en operacin, que deber determinar si se han logrado los
objetivos previstos, y si se ha alcanzado la satisfaccin de las
necesidades planteadas por los usuarios.
Se deber informar por escrito la importancia de la seguridad
de la informacin a todo el personal contratado, terceros y
consultores. El administrador del departamento de sistemas,
junto con los directivos, sern quienes: especifiquen los
requerimientos de seguridad, determinen los pasos a seguir en
caso que no se respete lo establecido en el contrato,
establezcan clusulas sobre confidencialidad de la informacin,
exijan al tercero en cuestin que informe posibles brechas de
seguridad de existentes.
Los contratos con terceros debern contener una clusula que
indique Derecho de auditar el desempeo del contratado.
Con respecto a la contratacin de terceros para el desarrollo de
aplicaciones, ste deber entregar a la empresa: aplicacin
ejecutable, cdigo fuente de la aplicacin, documentacin del
desarrollo, manual de uso.
Antes de realizar la compra de una aplicacin de software,
deber:
Realizarse un anlisis de costo beneficio, comprobar la
adaptabilidad a los sistemas con que cuenta la facultad,
verificar la compatibilidad con los sistemas operativos de la
empresa, evaluar las medidas de seguridad que posee
S
E G U R I D A D
D E
C
O M U N I C A C I O N E S
P
L A N
D E
S

E G U R I D A D
I
N F O R M T I C A
106

La informacin enviada a travs de equipos de comunicaciones

de la empresa seconsidera
privada
. Cabe aclarar que la informacin no es pblica, a menos queen
forma expresa se indique lo contrario.

El uso de Internet debe ser

monitoreado
peridicamente. Si existe alguna raznpara creer que la
seguridad est siendo violada, la compaa puede revisar
elcontenido de las comunicaciones de Internet.

El acceso casual a los mensajes de correo electrnico por los

administradores ysimilares, se considera una violacin a la
poltica de seguridad de la informacin.Sin embargo, la
Gerencia tiene el
derecho

de examinar
cualquier informacin,sin previo consentimiento o notificacin
del empleado, en caso que se considereque se est utilizando
inadecuadamente el equipamiento de la compaa.

De ser necesario realizar

mantenimiento remoto
a los servidores, se utilizarnprotocolos y servicios de
comunicacin que garanticen la seguridad de los datosque se
transmiten a travs de la red, utilizando encriptacin.
Deberndocumentarse cada una de las actividades que el
personal externo realice sobrelos equipos utilizando acceso
remoto. Para llevar a cabo estas tareas, elencargado del
mantenimiento deber solicitar formalmente la direccin IP
delservidor de Internet y el password de la cuenta de
mantenimiento aladministrador del centro de cmputos.
2.3

C
ONFIGURACIN
L
GICA DE
R
ED

El riesgo aumenta con el nmero de conexiones a

redes externas
; por lo tanto, laconectividad debe ser la mnima necesaria para
cumplir con los objetivos de laempresa.

El esquema de direcciones de la
red interna
no debe ser visible ante lasconexiones externas.

Deber asegurarse que la

direccin IP
de la empresa sea un nmero variable yconfidencial.

Los
recursos lgicos
o fsicos de los distintos
puestos de trabajo
no deben servisibles en el resto de la red informtica. Los
recursos de los
servidores
sernvisibles solo en los casos necesarios y con las medidas de
seguridadcorrespondientes.

Deben tomarse los recaudos necesarios para restringir todo tipo

de aplicacionesque no ayudan al cumplimiento de los objetivos
de la organizacin, tales comoherramientas de
chateo o file sharing
.
2.4

M
AIL

La Gerencia determinar que empleados deben contar con una

cuenta
de correoelectrnico, segn lo amerite su tarea.
S
E
C
O
P
L
S
E
I
N
-

G U R I D A D

D E

M U N I C A C I O N E S
A N

D E

G U R I D A D
F O R M T I C A

107

Deber existir un
procedimiento
formal para dar de alta y de baja las cuentas decorreo
electrnico en el sistema informtico.

La empresa deber contar con un sistema de

mail externo y uno interno
, condiferentes dominios. De esta manera, las comunicaciones
entre el personal de laempresa se realizarn sin exponer los
mensajes a Internet.

Los
aplicativos
de correo electrnico deben brindar las condiciones de
seguridadnecesarias para evitar los virus informticos o la
ejecucin de cdigo malicioso,deben brindar la facilidad de
impedir que un usuario reciba correos de unremitente riesgoso

para los recursos de la empresa.

 Todas las cuentas de correo que pertenezcan a la empresa

deben estar gestionadaspor una misma aplicacin. Esta debe
asociar una cuenta de correo a una
PC enparticular
de la red interna.

El administrador de mail no debe ser utilizado para enviar

correo basura(
SPAM
).

Los mensajes de correo electrnico deben ser considerados

como
documentosformales
y deben respetar todos los lineamientos referentes al uso
inapropiadodel lenguaje.

El correo electrnico no debe ser utilizado para enviar

cadenas de mensajes,
nodebe relacionarse con actividades ilegales y no ticas o para
mensajes norelacionados con los propsitos de la empresa.

Los datos que se consideraron confidenciales o crticos

deben
encriptarse
.

Debe existir un procedimiento de

priorizacin
de mensajes, de manera que loscorreos electrnicos de
prioridad alta sean
resguardados
.

Deber asignarse una

capacidad de almacenamiento
fija par cada una de lascuentas de correo electrnico de los
empleados.
2.5

A
NTIVIRUS

En todos los
equipos
de la empresa debe existir una herramienta
antivirusejecutndose permanentemente y en continua
actualizacin.

Deber utilizarse ms de una herramienta

antivirus en los
servidores
, para as disminuir el riesgo de infeccin.

Debern existir
discos de rescate
de los antivirus, tanto para los servidores comopara los puestos
de trabajo, que sean capaces de realizar escaneos de virus a
bajonivel y restaurar los sistemas.

La
actualizacin
de los antivirus de todos los equipos de la empresa
deberrealizarse a travs de un procedimiento formal y, si es
posible, automtico, acargo de un empleado del centro de
cmputos designado por el administrador.

S
E G U R I D A D
D E
C
O M U N I C A C I O N E S
P
L A N
D E
S
E G U R I D A D
I
N F O R M T I C A

108


Debern programarse
escaneos
peridicos de virus en todos los equipos de laempresa; esta
tarea estar a cargo de personal designado por el administrador
delcentro de cmputos.

Deber existir un
procedimiento formal
a seguir en caso que se detecte un virusen algn equipo del
sistema.
2.6

F
IREWALL

El firewall de la empresa debe presentar una postura de

negacin preestablecida,configurado de manera que se
prohban todos los
protocolos y servicios
,habilitando los necesarios.

Los servicios o protocolos que solo sean necesarios

espordicamente debernhabilitarse
on demand
. Aquellos que sean considerados riesgosos debernhabilitarse
bajo estrictas limitaciones de uso, considerando el equipo desde
el quese utilizar, hacia qu destino, las fechas y los horarios
para dichas conexiones. Amodo de ejemplo, esto puede
aplicarse a la utilizacin del protocolo FTP para lacomunicacin
con las fbricas.

El
encargado de mantenimiento
debe controlar peridicamente la configuracindel firewall y los
servicios de red, documentando los resultados de
dichaspruebas.

De haber una falla en el firewall, debe ser una

falla segura
, lo que significaque todos los accesos al servidor de Internet
deben bloquearse.

2.7
A
TAQUES DE
R
ED

Toda la informacin que se considere confidencial deber

encriptarse
durante latransmisin, o viajar en formato no legible.

Deben existir
procedimientos
formalmente documentados
destinados a prevenirlos ataques de red ms frecuentes.

Se deber usar algn sistema de deteccin de intrusos (

IDS
), tolerantes al fallo,utilizando los mnimos recursos posibles.

Deber utilizarse una herramienta que monitoree la red, con el

fin de evitar elataque de denegacin de servicio (
DoS
).

Para disminuir el riesgo de

sniffing
, la re