Implementación de Un SGSI Sobre Un Sitio de Comercio Electrónico para Una Nueva Institución Banca

ESCUELA SUPERIOR POLITCNICA DEL LITORAL
ESCUELA DE DISEO Y COMUNICACIN VISUAL
PROYECTO DE GRADUACIN
PREVIO A LA OBTENCIN DEL TTULO DE
ANALISTA Y PROGRAMADOR DE SISTEMAS
TEMA
Implementacin de un Sistema de Gestin de Seguridad de la Informacin usando la
norma ISO27000 sobre un sitio de comercio electrnico para una nueva institucin
bancaria aplicando los dominios de control ISO27002:2005 y utilizando la
metodologa Magerit
AUTORES
Marcel Eduardo Len Lafebr
Evelyn Anabell Mota Orrala
Joffre Manuel Navarrete Zambrano
DIRECTOR
Ing. Vctor Muoz Chachapoya
AO
2011
AGRADECIMIENTO
Agradecemos a Dios por habernos permitido llegar a este punto en nuestra vida
estudiantil, a nuestras familias que con su apoyo incondicional supieron apoyarnos en
los momentos difciles, a nuestros maestros que da a da impartieron sus conocimientos
para enfrentarnos a un mejor maana y a nuestros compaeros por permitirnos
compartir gratos momentos en el transcurso nuestra carrera.
Marcel Len Lafebr

Evelyn Mota Orrala
Joffre Navarrete Zambrano
DEDICATORIA
Dedicamos este logro a nuestros padres, hermanos y allegados que estuvieron

incondicionalmente apoyndonos a lo largo de nuestras carreras, permitindonos de tal
manera hacer la entrega de este proyecto.
A nuestros maestros que supieron enrumbarnos con sus metodologas por el camino
correcto logrando as a ser profesionales competitivos en el campo laboral.
Finalmente a todas aquellas personas que se nos escape mencionar pero que siempre los
tendremos presente.
Marcel Len Lafebr

Evelyn Mota Orrala
DECLARACIN EXPRESA
Los autores nos responsabilizamos por el anlisis, estudio y las conclusiones

realizadas en este Proyecto de Graduacin. As mismo declaramos que el patrimonio
intelectual del mismo pertenece a la ESCUELA SUPERIOR POLITCNICA DEL
LITORAL".
FIRMA EL DIRECTOR DEL PROYECTO Y MIEMBRO

DEL TRIBUNAL DE GRADUACIN
Ing. Vctor Muoz Chachapoya

Director del Proyecto
Mae. Enrique Salazar Meza

Delegado
FIRMA DE LOS AUTORES DEL PROYECTO
Marcel Len Lafebr
Evelyn Mota Orrala
RESUMEN
El presente documento contiene la informacin tcnica de la revisin de las seguridades

de un sitio web transaccional con el fin de encontrar y analizar las posibles
vulnerabilidades y amenazas para poder minimizarlas y gestionar el riesgo
correspondiente con la finalidad de lograr tener un sistema de seguridad de la
informacin lo mas ptimo posible.
Considerando la importancia y sensibilidad de la informacin de los clientes en una
institucin bancaria, hemos realizado este exhaustivo estudio, mediante el cual hemos
podido aplicar varios controles de los diferentes dominios existentes en la norma ISO27000, la cual se escogi para desarrollar este proyecto
CONTROL DEL DOCUMENTO
FECHA
REVISIN
OBSERVACIONES
02-Mayo-2011
Versin 1.0
Elaboracin de borrador
inicial del documento
16-Mayo-2011
Versin 1.1
Ordenar contenido de
captulos
22-Mayo-2011
Versin 1.2
Depuracin del captulo de

Anlisis y Gestin de
Riesgo
06-Mayo-2011
Versin 1.3
Verificacin general del

contenido del documento
1-Septiembre-2011
Versin 1.4
Correccin de formatos
NDICE GENERAL
CAPTULO 1: INTRODUCCIN
1.INTRODUCCIN....................................................................................................................................
1.1.ANTECEDENTES
1.2.OBJETIVOS
1.2.1. OBJETIVO GENERAL
1.2.2. OBJETIVOS ESPECFICOS
12
13
13
13
2.GENERALIDADES.................................................................................................................................
2.1.DEFINICIN DE CONCEPTOS
15
2.1.1.P.D.C.A.:
15
2.1.2.LA GESTIN POR PROCESOS
15
2.1.3.LA ISO
15
2.1.4.INFORMACIN
15
2.1.5.RECURSO O ACTIVO DE TECNOLOGA INFORMTICA Y
COMUNICACIONES (TIC)
15
2.1.6.POLTICA
15
2.1.7.DIRECTIVAS
15
2.1.8.ESTNDAR
15
2.1.9.PROCEDIMIENTO
15
2.1.10.ACTIVO
15
2.1.11.ANLISIS DE RIESGO
15
2.1.12.CONTROL
15
2.1.13.CRIPTOGRAFA
15
2.1.14.ELECTROTCNICA
15
2.1.15.EVALUACIN DE RIESGO
15
2.1.16.EVENTO DE SEGURIDAD DE LA INFORMACIN
15
2.1.17.GESTIN DE RIESGO
16
2.1.18.INCIDENTE DE SEGURIDAD DE LA INFORMACIN
16
2.1.19.LINEAMIENTO
16
2.1.20.MTRICA
16
2.1.21.RIESGO
16
2.1.22.TERCERA PERSONA
16
2.1.23.VULNERABILIDAD
16
2.2.DEFINICIN DE LA EMPRESA
16
2.2.1. PERFIL DE LA EMPRESA
16
2.2.2.ESQUEMA DE PROCESO
17
2.2.2.1.GESTIN DE PROYECTOS
18
2.2.2.2.DESARROLLO DE TRANSACCIONES
18
9
2.2.2.3.IMPLEMENTACIN EN PRODUCCIN
2.2.2.4.MANTENIMIENTO Y RESPALDO
2.2.2.5.OPERACIONES
2.2.3. PLATAFORMA DE LA BANCA VIRTUAL
18
18
18
18
3.ALCANCE DEL PROYECTO.................................................................................................................
3.1.ALCANCE A ALTO NIVEL

3.2.DESCRIPCIN AL DETALLE DEL ALCANCE
3.3. JUSTIFICACIN
20
20
20
4.POLTICA DE SEGURIDAD..................................................................................................................
4.1.OBJETIVO Y ALCANCE
22
4.2.MBITO DE APLICACIN
22
4.3.NORMATIVA
MARCO
(NORMATIVAS
SUPERIOR
DE
REFERENCIA)
22
4.4.DISPOSICIONES GENERALES Y TRANSITORIAS
22
4.5.ROLES Y RESPONSABILIDADES
22
4.6.POLTICA GENERAL DE SEGURIDAD DE LA INFORMACIN
23
4.6.1.PRINCIPALES DIRECTIVAS:
23
4.6.2.CLASIFICACIN Y CONTROL DE ACTIVOS DE INFORMACIN
23
4.6.3.ADMINISTRACIN DE RIESGOS DE SEGURIDAD
23
4.6.4.COMPETENCIA DEL PERSONAL EN MATERIA DE SEGURIDAD
DE LA INFORMACIN
23
4.6.5.SEGURIDAD FSICA Y DE ENTORNO
23
4.6.6.ADMINISTRACIN DE EQUIPAMIENTO, OPERACIONES Y
COMUNICACIONES
23
4.6.7.CONTROLES DE ACCESO
23
4.6.8.DESARROLLO Y MANTENIMIENTO DE SISTEMAS
23
4.6.9.ADMINISTRACIN DE LA CONTINUIDAD DEL NEGOCIO
23
5.ANLISIS Y GESTIN DE RIESGOS...................................................................................................
5.1.METODOLOGA
5.2.ANLISIS DE GESTIN DE RIESGO
5.3.IDENTIFICACIN DE ACTIVOS
5.4.VALORACIN DE ACTIVOS
5.5.INTERRELACIN DE LOS ACTIVOS
5.6.AMENAZAS
5.7.VALORACIN DEL IMPACTO
26
26
26
27
27
29
29
Capacidad de Operar............................................................29
5.8.CONTROLES
34
5.9.DETERMINACIN DEL RIESGO
35
10
5.9.1.FRECUENCIA DE OCURRENCIA DE LAS AMENAZAS

5.10.DOCUMENTO DE DECLARACIN DE APLICABILIDAD (SOA)
5.11.CONTROLES A IMPLEMENTAR
5.12.PROCEDIMIENTOS DOCUMENTADOS.
5.12.1.ATENCIN DE INCIDENTES
5.12.1.1.OBJETIVO:
5.12.1.2.RESPONSABILIDADES:
5.12.1.3.CLASIFICACIN DE ALERTAS
5.12.1.4.ESTADO DE EMERGENCIA
5.12.1.5. NOTIFICACIONES:
5.12.2. MONITOREO DE BASE DE DATOS
5.12.3.MONITOREO DE REDES
5.12.3.1.OBJETIVO
5.12.3.3.PROCEDIMIENTO:
5.12.4. MONITOREO DE SERVIDORES
5.12.4.1.OBJETIVO
5.12.4.3.PROCEDIMIENTO:
5.12.5.POLTICA DE MONITOREO
5.12.5.1.OBJETIVO
5.12.5.2.MONITOREO POR ELEMENTO
5.12.5.3.ARQUITECTURA:
5.12.6.POLTICA DE CONTROL DE ACCESO
5.12.6.1.OBJETIVO
5.12.6.2.ALCANCE
5.12.6.3.PERFILES DE USUARIOS
5.12.6.4.POLTICA:
5.12.7.PERMISO DE RED O SISTEMAS OPERATIVOS
5.12.8.POLITCA DE CUENTA
5.12.8.1.USUARIO SA
5.12.8.2.USARIO DE CONSULTA / LECTURA
5.12.8.3.APLICATICATIVOS/ACTUALIZACIONES
5.12.8.4. OPERADORES
5.12.8.5. ADMINISTRADORES DE BASE DE DATOS
5.12.8.6. OFICIAL DE SEGURIDAD
5.12.9.POLTICA DE PASSWORD
5.12.10.ACTA DE COMPROMISO
5.12.10.1.POLTICAS:
11
35
37
42
43
43
43
43
43
43
44
44
44
45
45
45
45
45
45
46
46
47
47
47
47
47
49
49
49
49
49
49
50
50
50
50
50
50
50
50
50
50
5.12.10.2.DECLARACIN:
51
5.12.11.POLTICA DE USO DE PENDRIVES
52
5.12.11.1.OBJETIVO
52
5.12.11.2.GENERALIDADES
52
5.12.11.3.MOTIVO DE LA REGULACIN
52
5.12.11.4.POLTICAS
52
5.12.11.4.1.DRIVER USB DESHABILITADO
52
5.12.11.4.2.MONITOREO DE DRIVERS HABILITADOS
52
5.12.11.4.3.PASSWORD,
ENCRIPTACIN
Y
RESPALDO
DE
ARCHIVOS
52
5.12.11.4.4.CARPETAS COMPARTIDAS DE RED
52
5.12.11.4.5.PEN-DRIVE AUTORIZADO
52
5.12.11.5.ADVERTIR A USUARIOS
52
5.12.11.6.POLTICA DE INFORMACIN COMPARTIDA
53
5.12.11.6.1.RIESGOS
DE
COMPARTIR
DIRECTORIOS
Y/O
ARCHIVOS
53
5.12.11.6.2.SISTEMA DE DOCUMENTACIN
53
5.12.11.6.3.POLTICA DE CORREO ELECTRNICO E INTERNET
54
5.12.11.6.3.1.PROCEDIMIENTO
54
5.12.11.7.RECOMENDACIONES
54
5.12.11.7.1.CORREO ELECTRNICO
54
5.12.11.7.2. NAVEGACIN EN INTERNET
55
6.CONCLUSIONES Y RECOMENDACIONES........................................................................................
6.1.CONCLUSIONES
6.2.RECOMENDACIONES
57
58
ESTANDAR DE SEGURIDAD PARA WINDOWS 2003 SERVER.........................................................

CONFIGURACIN DE SEGURIDAD PARA EL HARDWARE DE SERVIDORES..............................
DEFINICIN DE OBJETOS DEL SERVICIO DE DIRECTORIOS Y ASIGNACIN DE
PERMISOS..................................................................................................................................................
ESQUEMA DE SEGURIDAD EN ACTIVE DIRECTORY.......................................................................
ADMINISTRACIN DE RECURSOS COMPARTIDOS..........................................................................
ESTRUCTURA DE DIRECTORIOS Y PERMISOS ASIGNADOS..........................................................
ADMINISTRACIN DE RECURSOS.......................................................................................................
ESTNDAR DE SEGURIDAD PARA MS SQL SERVER 2008...............................................................
CONFIGURACIN GENERAL DE LA SEGURIDAD............................................................................
DIRECTORIOS DE INSTALACIN Y PERMISOS EN WINDOWS 2003/2008....................................
12
CONFIGURACIN DE SQL SERVER AGENT.......................................................................................

ROLES DE ADMINISTRACIN DEL SERVIDOR..................................................................................
BASES DE DATOS.....................................................................................................................................
ENCRIPTACIN DE DATOS..................................................................................................................
CONSIDERACIONES ADICIONALES DE SEGURIDAD....................................................................
ESTNDAR DE SEGURIDAD PARA INTERNET INFORMATION SERVICES 7.............................
CONSIDERACIONES GENERALES DEL SISTEMA OPERATIVO....................................................
CONSIDERACIONES BSICAS DE SEGURIDAD DEL SERVICIO WEB........................................
PERMISOS DE ACCESO A DIRECTORIOS..........................................................................................
CONSIDERACIONES DE SEGURIDAD SOBRE EL SERVICIO FTP.................................................
CONSIDERACIONES DE SEGURIDAD SOBRE EL SERVICIO SMTP..............................................
CONTROLES DE ACCESO.....................................................................................................................
DOCUMENTACIN DE REFERENCIA.................................................................................................
13
NDICE DE ILUSTRACIONES
Figura
Figura
Figura
Figura
Figura
Figura
Figura
Figura
Figura
Figura
Figura
Figura
Figura
2-1: PDCA.................................................................................15
2-2: Esquema de Proceso.........................................................17
2-3: Gestin de Proyectos........................................................18
2-4: Desarrollo de Transacciones.............................................18
2-5: Implementacin en Produccin.........................................18
2-6: Mantenimiento y Respaldo...............................................18
2-7: Operaciones......................................................................18
2-8: Plataforma del Servicio Virtual..........................................18
1: Estructura Forest..................................................................61
2: Estructura de unidades organizativas..................................62
11: Autenticacin de usuarios................................................107
12: Sitio Web predeterminado...............................................108
13: Buscador de directorio.....................................................108
14
NDICE DE TABLAS
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
5-1: Identificacin de Activos....................................................26

5-2: Valoracin de Activos.........................................................27
5-3: Abreviatura de Activos.......................................................27
5-4: Interrelacin de Activos......................................................28
5-5: Amenazas...........................................................................29
5-6: Valoracin del Impacto.......................................................34
5-7: Controles............................................................................35
5-8: Anlisis estadstico.............................................................36
5-9: SOA....................................................................................41
5-10: Controles a Implementar..................................................42
5-11: Tablas...............................................................................50
0-1: Polticas de Contraseas....................................................66
0-2: Polticas de Bloqueo de Cuentas........................................66
0-3: Polticas de Kerberos..........................................................66
0-4: Derechos de Usuarios.........................................................70
0-5: Polticas de Bloqueo de Cuentas........................................71
0-6: Opciones de Seguridad......................................................78
0-7: Controladores de Dominio..................................................78
0-1: Administracin de Recursos Compartidos..........................79
0-2: Permisos por Grupo............................................................79
0-3: Permisos por Grupo............................................................79
0-4: Esquema de Carpetas Compartidas...................................79
0-2: Servidores Miembro Stand Alone.......................................87
0-1: Account..............................................................................88
0-2: Profile.................................................................................88
0-3: Exchange............................................................................89
0-4: Alta de Cuentas de Servicio...............................................89
0-5: Alta de Cuenta de Servicio Password.................................90
0-7: Member Servers y Stand Alone..........................................92
0-1: Cuentas de Servicio............................................................94
0-1: Directorios de Instalacin...................................................94
0-2: Permisos en Windows.........................................................94
0-3: Permisos.............................................................................95
0-1: Definicin de Grupos........................................................105
15
Tabla
Tabla
Tabla
Tabla
Tabla
Tabla
0-2:
0-3:
0-1:
0-1:
0-2:
0-3:
Derechos de Usuarios.......................................................105
Servicios...........................................................................105
Reduccin de los Componentes www...............................105
Permiso de Acceso a Directorios......................................106
Permiso de Acceso a Directorios......................................107
Configuracin del Registro de Windows...........................107
16
CAPTULO 1
INTRODUCCIN
Proyecto de Graduacin
Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

comercio electrnico para una nueva institucin bancaria aplicando los
dominios de control ISO27000:2005 y utilizando la metodologa Magerit
1. INTRODUCCIN
1.1.
ANTECEDENTES
En la actualidad, las principales instituciones financieras del Ecuador tienen la

necesidad de estar constantemente verificando las seguridades de sus sitios
transaccionales, ya que as mismo existen personas y/u organizaciones bien o malintencionadas que buscan encontrar alguna vulnerabilidad en los sitios de estas
empresas para robar informacin o para buscar un negocio de asesoramiento con dichas
instituciones.
Vale acotar tambin que la banca virtual es una tecnologa indispensable en la
actualidad para dar un servicio de calidad a los clientes de una institucin financiera.
Es claro que todo tiene su precio, por lo cual esta nueva institucin financiera desea
sacar su sitio transaccional pero est consciente de que necesita implementar un SGSI
para minimizar el riesgo en sus operaciones.
Una directriz de la implementacin de este SGSI es que va a estar aplicado en varios
dominios de controles de la norma ISO.
Otro punto de mucha relevancia es determinar la metodologa que se va a utilizar para la
implementacin del SGSI.
EDCOM
Pgina # 18
ESPOL

1.2.
1.2.1.
OBJETIVOS
OBJETIVO GENERAL
Implementar un SGSI para un sitio transaccional de comercio electrnico de una nueva

institucin financiera bajo la norma ISO27000 aplicado a varios dominios de control y
utilizando la metodologa MAGERIT para minimizar los riesgos y que el servicio no se
vea afectado en lo mayormente posible.
1.2.2.
OBJETIVOS ESPECFICOS
Determinacin del alcance y poltica de seguridad.
Determinacin del valor de los activos.

Determinacin del riesgo.
Identificacin de objetivos de control y controles.
Definicin e implementacin de polticas, estndares y procedimientos para
implementar los controles.

Revisiones y auditoria de Certificacin del SGSI.
EDCOM
Pgina # 19
ESPOL
CAPTULO 2
GENERALIDADES

2. GENERALIDADES
2.1.
DEFINICIN DE CONCEPTOS
2.1.1.
P.D.C.A.:
Es conocido como "crculo de Deming" por Edwards Deming, es una estrategia de

mejora continua de la calidad en cuatro pasos, basada en un concepto ideado por Walter
A. Shewhart. Tambin se denomina espiral de mejora continua. Las siglas PDCA son el
acrnimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar).
Figura 2-1: PDCA
2.1.2.
LA GESTIN POR PROCESOS
Es la forma de gestionar toda la organizacin basndose en los Procesos. Entendiendo

estos como una secuencia de actividades orientadas a generar un valor aadido sobre
una ENTRADA para conseguir un resultado, y una SALIDA que a su vez satisfaga los
requerimientos del Cliente.
2.1.3.
LA ISO
Organizacin Internacional de Normalizacin. Organismo encargado de promover el

desarrollo de normas internacionales de fabricacin, comercio y comunicacin para
todas las ramas industriales a excepcin de la elctrica y la electrnica. Su funcin
principal es la de buscar la estandarizacin de normas de productos y seguridad para las
empresas u organizaciones a nivel internacional.
2.1.4.
INFORMACIN
Se considera informacin a los diferentes conjuntos organizados de datos que utiliza

Banco.
EDCOM
Pgina # 21
ESPOL
2.1.5.

RECURSO O ACTIVO DE TECNOLOGA INFORMTICA Y

COMUNICACIONES (TIC)
Se considera recurso TIC a todos aquellos recursos tcnicos que almacenan, procesan o
transmiten informacin de la Entidad.
2.1.6.
POLTICA
Se considera poltica a la declaracin, por parte de la direccin de la Entidad, de un

conjunto de objetivos para regir y proteger los objetivos de la misma. Dentro de estos
objetivos se encuentran prcticas generalmente aceptadas para llevar a cabo tareas de
control interno, requerimientos de proteccin de la informacin, etc.
2.1.7.
DIRECTIVAS
Una directiva es una declaracin que provee a los miembros de la Entidad. La

informacin acerca de los objetivos planteados en las polticas. Las directivas son
diseadas para proveer una descripcin ms especfica de los objetivos de la Entidad,
de modo que son modificadas ms frecuentemente que las polticas debido a cambios
en el entorno de negocios de la Entidad.
El cumplimiento de las directivas asegura el cumplimiento de los objetivos planteados
en las polticas.
2.1.8.
ESTNDAR
Un estndar es una declaracin que provee una gua o lineamiento para concretar los
objetivos estipulados por las directivas e indicados por las polticas.
2.1.9.
PROCEDIMIENTO
Un procedimiento es una declaracin que indica cmo realizar un conjunto de

actividades que permitan lograr los objetivos establecidos. Un procedimiento puede
tomar la forma de un manual de instalacin, una gua de usuario, un manual
administrativo, una lista de verificacin o cualquier otro tipo de documentacin
operacional.
2.1.10.
ACTIVO
Cualquier cosa que tenga valor para la organizacin.

EDCOM
Pgina # 22
ESPOL

Amenaza: una causa potencial de un incidente no deseado, el cual puede resultar en

dao a un sistema u organizacin.
2.1.11.
ANLISIS DE RIESGO
Uso sistemtico de la informacin para identificar las fuentes y calcular el riesgo.
2.1.12.
CONTROL
Medios para manejar el riesgo, incluyendo polticas, procedimientos, lineamientos,

prcticas o estructuras organizacionales, las cuales pueden ser administrativas, tcnicas,
de gestin o de naturaleza legal. El control tambin se utiliza como sinnimo de
salvaguarda o contramedida.
2.1.13.
CRIPTOGRAFA
Es el arte o ciencia de cifrar y descifrar informacin utilizando tcnicas que hagan

posible el intercambio de mensajes de manera segura que slo puedan ser ledos por las
personas a quienes van dirigidos.
2.1.14.
ELECTROTCNICA
Es la ciencia que estudia las aplicaciones tcnicas de la electricidad.
2.1.15.
EVALUACIN DE RIESGO
Proceso de comparar la contingencia estimada con un criterio de la contingencia dada

para determinar la solucin del riesgo.
2.1.16.
EVENTO DE SEGURIDAD DE LA INFORMACIN
Cualquier evento de seguridad de la informacin es una ocurrencia identificada del

estado de un sistema, servicio o red, indicando una posible falla en la poltica de
seguridad de la informacin o falla en las salvaguardas, o una situacin previamente
desconocida que puede ser relevante para la seguridad.
2.1.17.
GESTIN DE RIESGO
Actividades coordinadas para dirigir y controlar una organizacin con relacin al

riesgo.
EDCOM
Pgina # 23
ESPOL
2.1.18.

INCIDENTE DE SEGURIDAD DE LA INFORMACIN
Un incidente de seguridad de la informacin es indicado por un solo evento o una serie

de eventos inesperados de seguridad de la informacin que tienen una probabilidad
significativa de comprometer las operaciones comerciales y amenazar la seguridad de
la informacin.
2.1.19.
LINEAMIENTO
Descripcin que aclara Qu? y Cmo? se debera hacer, para lograr los objetivos
establecidos en las polticas.
Medios de procesamiento de la informacin: cualquier sistema, servicio o
infraestructura de procesamiento de la informacin, o los locales fsicos que los alojan.
2.1.20.
MTRICA
Es una metodologa de planificacin, desarrollo y mantenimiento de sistemas de

informacin.
Poltica: intencin y direccin general expresada formalmente por la gerencia.
2.1.21.
RIESGO
Combinacin de la probabilidad de un evento y su ocurrencia.

Seguridad de la informacin: preservacin de confidencialidad, integracin y
disponibilidad de la informacin; adems, tambin puede involucrar otras propiedades
como autenticidad, responsabilidad, no-reputacin y confiabilidad.
Tratamiento del riesgo es un proceso de seleccin e implementacin de medidas para
modificar el riesgo.
2.1.22.
TERCERA PERSONA
Persona u organismo que es reconocido como independiente de las partes involucradas,

con relacin al tem en cuestin.
2.1.23.
VULNERABILIDAD
La debilidad de un activo o grupo de activos que puede ser explotada por una o ms
amenazas.
EDCOM
Pgina # 24
ESPOL

2.2.
DEFINICIN DE LA EMPRESA
2.2.1.
PERFIL DE LA EMPRESA
Como empresa del sector financiero, la entidad tiene como objeto: la captacin de
fondos de entidades pblicas, empresas del sector privado y los fondos de todos sus
clientes para ofrecer planes de financiamiento para los sectores productivos del pas
con el fin de dar, mantener y mejorar la economa de la nacin. Por ende necesita dar
servicios de calidad a nuestros clientes, para lo cual tiene su valor aadido del sitio
transaccional de banca virtual, que le permitir al cliente hacer un sin fin de
operaciones sin tener que ir a las diferentes centrales y sucursales del banco.
En la actualidad la institucin est presente en las 3 ms grandes ciudades del Ecuador,
estando as distribuidas:
Guayaquil Matriz
Quito
Sucursal 1
Cuenca Sucursal 2
La empresa al adquirir la banca virtual, ofrece a sus clientes (empresas y personas) la
disponibilidad del servicio 7 x 24.
La organizacin se mueve en un sector en el que la mejora continua es esencial para
mantener el nivel de competitividad que goza actualmente.
La constante innovacin tecnolgica le permite a la entidad financiera una mejora
continua en los procesos de negocio.
La forma de actuacin de la entidad financiera sigue las pautas del P.D.C.A. (planificar,
hacer, controlar y actuar), en consecuencia con una constante retroalimentacin sobre la
gestin de nuestros procesos.
El objetivo primordial de la poltica de calidad es la satisfaccin y fidelidad de nuestros
clientes.
La empresa considera prioritario a nivel interno:
La mejora de la competitividad de la empresa, dentro del mercado donde desarrolla su
actividad.
EDCOM
Pgina # 25
ESPOL

El aumento de la rentabilidad de la empresa, mejorando los procesos.

Para alcanzar estos objetivos establecemos como primer paso la gestin de un sistema
de Calidad segn la Norma ISO 9000 en el servicio del ATM (cajeros automticos)
obtenido dicho certificado en el ao 2008.
Actualmente la entidad brinda a sus clientes por medio de su banca virtual los
siguientes servicios de calidad:
Transferencias cuentas propias
Transferencias terceros mismo banco, otros bancos SPI, directo e internacionales
Pago de tarjetas de crdito propias
Pago de tarjetas de crdito de terceros mismo banco, otros bancos SPI, directo e
internacionales.
Recarga de tarjetas de crdito
Servicios de consulta y pago de servicios pblicos y privados en lnea y base local
Consulta de central de crdito
2.2.2.
ESQUEMA DE PROCESO
La organizacin ha identificado sus diferentes procesos de negocio claves para la banca

virtual, como se indica en la figura 1.
EDCOM
Pgina # 26
ESPOL

Figura 2-2: Esquema de Proceso
EDCOM
Pgina # 27
ESPOL

2.2.2.1.
GESTIN DE PROYECTOS
ENTRADA
SALIDA
* Necesidades
del cliente y
oportunidad de
negocio
* Anlisis de las
reas:
- Mercadeo y
Publicidad
- Productos
- Legal
- Financiero
-Tecnologa
* Recursos
disponibles
* Viabilidad
* Satisfaccin del
cliente y
rentabilidad
* Documentacin
del proyecto
* Registros del
proyecto
Figura 2-3: Gestin de Proyectos

2.2.2.2.
DESARROLLO DE TRANSACCIONES
ENTRADA
SALIDA
* Definiciones de CU
* Definiciones
tcnicas
* Nueva transaccin
de banca virtual
* Orden de proceso
para produccin,
respaldos y
procesos en lotes
Figura 2-4: Desarrollo de Transacciones
EDCOM
Pgina # 28
ESPOL

2.2.2.3.
IMPLEMENTACIN EN PRODUCCIN
ENTRADA
SALIDA
* Requerimiento de
* Nueva transaccin
pase a produccin
disponible para
* Documentacin de
clientes en banca
permisos de red a
virtual
terceros
Figura 2-5: Implementacin en Produccin
2.2.2.4.
MANTENIMIENTO Y RESPALDO
ENTRADA
SALIDA
* Documentacin de
base de datos
* Documentacin de
procesos batch
* Inclusin en
bitcora de
respaldos de
centro de cmputo
* Ejecucin de
procesos batch
Figura 2-6: Mantenimiento y Respaldo
EDCOM
Pgina # 29
ESPOL

2.2.2.5.
OPERACIONES
ENTRADA
SALIDA
* Inconvenientes
reportados por
clientes
* DWH
* Parches de la
transaccin
* Anlisis de
estadsticas
* Conciliaciones de
transacciones
* Cuadres contables
Figura 2-7: Operaciones
EDCOM
Pgina # 30
ESPOL
2.2.3.

PLATAFORMA DE LA BANCA VIRTUAL
Figura 2-8: Plataforma del Servicio Virtual

NOTA: Vale indicar que existen estndares de seguridad del software utilizado en los
diferentes servidores Microsoft, los cuales son los siguientes:
Sistema Operativo Windows 2003 (Ver anexo de estndares)
Motor de base de datos SQLServer 2008 (Ver anexo de estndares)
Servicios de Informacin de Internet 7 (IIS) (Ver anexo de estndares)
EDCOM
Pgina # 31
ESPOL
CAPTULO 3
ALCANCE DEL PROYECTO

3. ALCANCE DEL PROYECTO

3.1.
ALCANCE A ALTO NIVEL
La gestin de la seguridad de la informacin en todas las actividades y desarrollo de

proyectos de servicios de comercio electrnico de la entidad financiera. El
mantenimiento, los servicios de valor aadido, los ingresos relacionados con dichos
servicios, su consecucin y el otorgarle a los clientes un servicio 7 x 24 (Las 24 horas
del da y 365 das del ao). Esto est de acuerdo con el documento de Declaracin de
Aplicabilidad (Statement Of Applicability, SOA) fechado a Abril/01/2011, v1.0.
3.2.
DESCRIPCIN AL DETALLE DEL ALCANCE
Como empresa del sector financiero, la entidad tiene como objeto la captacin de
fondos de entidades pblicas, empresas del sector privado privado y los fondos de
todos sus clientes para ofrecer planes de financiamiento para los sectores productivos
del pas con el fin de dar mantener y mejorar la economa de la nacin. Por ende
necesita dar servicios de calidad a nuestros clientes, para lo cual tiene su valor aadido
del sitio transaccional de banca virtual, que le permitir al cliente hacer un sin fin de
operaciones sin tener que ir a las instalaciones de la oficina.
En la actualidad la institucin est presente en las 3 ms grandes ciudades del Ecuador,
estando as distribuidas:
Guayaquil Matriz
Quito Sucursal 1
Cuenca Sucursal 2
La empresa al adquirir la banca virtual, ofrece a sus clientes (empresas y personas) la
disponibilidad del servicio 7 x 24.
La organizacin se mueve en un sector en el que la mejora continua es esencial para
mantener el nivel de competitividad que goza actualmente.
La constante innovacin tecnolgica le permite a la entidad financiera una mejora
continua en los procesos de negocio.
La forma de actuacin de la entidad financiera sigue las pautas del P.D.C.A. (planificar,
hacer, controlar y actuar), en consecuencia con una constante retroalimentacin sobre la
EDCOM
Pgina # 33
ESPOL

gestin de nuestros procesos.

El objetivo primordial de la poltica de calidad es la satisfaccin y fidelidad de nuestros
clientes.
La empresa considera prioritario a nivel interno:
La mejora de la competitividad de la empresa, dentro del mercado donde
desarrolla su actividad.
El aumento de la rentabilidad de la empresa, mejorando los procesos.
Para alcanzar estos objetivos establecemos como primer paso la gestin de un sistema
de Calidad segn la Norma ISO 9000 en el servicio del ATM (cajeros automticos)
obtenido dicho certificado en el ao 2008.
3.3.
JUSTIFICACIN
La informacin que se maneja en la banca virtual es un activo vital para el xito y la

continuidad en el mercado de la agencia financiera. El aseguramiento de dicha
informacin y de los sistemas que la procesan es, por tanto, un objetivo de primer nivel
para la organizacin.
Este manual se basa en ISO/IEC 27000, que es un conjunto de estndares desarrollados
por ISO (International Organization for Standardization) e IEC (International
Electrotechnical Commission), que nos permite implementar un sistema de gestin de
seguridad de informacin de una forma metdica, documentada y basada en objetivos
claros de seguridad y una evaluacin de los riesgos a los que est sometida la
informacin online de la entidad financiera.
La nueva institucin va a sacar su sitio transaccional de comercio electrnico, para lo
cual necesita un SGSI, este es un producto en el que se mezclan dominios de control de
diversas reas, tales como:
Aspectos organizativos
Cumplimiento Legal
Telecomunicaciones y operaciones
Adquisicin, mantenimiento y desarrollo de software
Controles de Accesos
Gestin de Incidentes
Para la implementacin del SGSI se decidi implementar la metodologa Magerit, la

cual mencionaremos en los siguientes tpicos de esta presentacin.
EDCOM
Pgina # 34
ESPOL
CAPTULO 4
POLTICA Y OBJETIVOS
DE SEGURIDAD

4. POLTICA DE SEGURIDAD
4.1.
OBJETIVO Y ALCANCE
El objetivo de la Poltica General de la Seguridad de la Informacin es establecer los

lineamientos y directivas relativas a la proteccin de la informacin y activos de
tecnologa informtica y comunicaciones de la Banca Virtual.
Las definiciones y lineamientos presentados en esta Poltica establecen las bases para la
implementacin de controles y medidas de la Seguridad de la Informacin que
permitirn al Banco minimizar y/o controlar adecuadamente los riesgos que afectan a
su informacin y a sus activos de tecnologa informtica y comunicaciones de la
Entidad en las transacciones virtuales.
La responsabilidad de la seguridad de la informacin diaria es deber de cada
funcionario y no solamente es al rea de Seguridad. La informacin de la Entidad debe
ser administrada activamente para asegurar la seguridad, confidencialidad, integridad y
disponibilidad de la misma.
4.2.
MBITO DE APLICACIN
Tanto el Banco en su conjunto, como las personas y terceros que acceden, utilizan e
interactan con sus recursos informticos y de comunicaciones relacionados a los
servicios transaccionales virtuales, se encuentran alcanzados por esta Poltica y las
polticas derivadas, y por ende, son responsables de contribuir al logro y mantenimiento
de estos objetivos en su desempeo cotidiano.
Esta Poltica es de aplicacin para todo colaborador y/o terceros contratados por el
Banco que accedan y/o utilicen informacin y/o recursos de tecnologa informtica y
comunicaciones de la banca virtual.
4.3.
NORMATIVA MARCO (NORMATIVAS SUPERIOR DE REFERENCIA)
Esta Poltica General tiene como normativa la Norma ISO 27000:2000, todo estndar y
procedimiento de Banco se basan en las mejores prcticas y normas de seguridad como
NIST, NSA, PCI, CIS, Resolucin de la Junta Bancaria No. JB-2011-1851 entre otras.
Normativa Derogada
EDCOM
Pgina # 36
ESPOL

Ninguna.
Vigencia
Esta Poltica entrar en rigor a partir del 15 de Agosto del 2011.
4.4.
DISPOSICIONES GENERALES Y TRANSITORIAS
Los criterios y directivas emitidos en revisiones anteriores de esta Poltica y los

referidos en cualquier otra norma al respecto, quedan totalmente sustituidos a partir de
la vigencia de la presente.
Esta poltica ser revisada anualmente por el rea de Seguridad de la Informacin de
Banco. Los resultados de la revisin, y los cambios que se sucedan, sern reportados a
la Gerencia General y comunicados a los involucrados antes de ser implementados.
La falta de cumplimiento de las definiciones emanadas de la presente Poltica, y de las
polticas y normas derivadas sobre seguridad y proteccin de la informacin y recursos
TIC de la Entidad, estar sujeta a las sanciones disciplinarias que amerite cada caso.
Los estndares y polticas derivadas de la Poltica General de Seguridad seguirn la
siguiente clasificacin jerrquica:
Poltica General de Seguridad;
Polticas Especficas de Seguridad;
Normativas y Directivas de Seguridad;
Estndares de Seguridad;
Procedimientos de Seguridad.
4.5.
ROLES Y RESPONSABILIDADES
La implementacin satisfactoria de la Poltica General de la Seguridad de la

Informacin, y de las medidas que de ella se desprendan, requiere la plena cooperacin
y la asistencia de todos los colaboradores de Banco que intervengan en el servicio de la
banca virtual. Es imperativo, por lo tanto, que todo el personal sea consciente de, y
opere de acuerdo con, los requisitos de seguridad aqu detallados.
A los efectos de definir e implementar adecuados niveles de seguridad en la
informacin, el Banco ha designado dos rganos de trabajo, a saber:
Comit de Seguridad de la Informacin: asumir la
participar en la toma de decisiones en
EDCOM
Pgina # 37
responsabilidad de
cuestiones relativas a la Seguridad de

ESPOL

la Informacin.
rea de Seguridad de la Informacin: ser la encargada
de gestionar la
proteccin de la informacin y los recursos TIC, implementando las medidas

de seguridad que se
desprendan de la estrategia y poltica definidas por el
Comit de Seguridad de la Informacin, y controlando su eficacia para los
fines buscados. As mismo, proveer a RRHH los recursos necesarios para
asegurar que todo el personal de Banco reciba la capacitacin adecuada sobre
los procedimientos de seguridad relevantes, y que se brinden los medios y
recursos para cumplir con dichos procedimientos.
Adicionalmente, se definen los siguientes roles relativos al cumplimiento de los
requisitos de la Seguridad de la Informacin:
Propietario: persona a la que, por su cargo y/o responsabilidad, Banco reconoce
como responsable de un recurso TIC determinado.
Su nivel deber ser consistente con la autoridad requerida para evaluar los riesgos a
los que est expuesto el recurso TIC, respetar las medidas de proteccin para
reducirlos, o para asumir los riesgos que no desee minimizar, dentro de los rangos de
riesgos aprobados por el Comit de Seguridad de la Informacin.
Es responsable de establecer el nivel de criticidad y confidencialidad del recurso TIC
del que es dueo.
Usuario: persona que accede a informacin y/o utiliza un
recurso TIC de Banco en
el desarrollo de su tarea especfica.

Deben firmar su conformidad con las polticas de seguridad de
y procedimientos que regulan sus
4.6.
la Entidad, y los estndares
actividades.
POLTICA GENERAL DE SEGURIDAD DE LA INFORMACIN
El principal objetivo de la Seguridad de la Informacin es cumplir con los siguientes

principios:
CONFIDENCIALIDAD: Asegurar que todos sus recursos informticos estn
protegidos contra uso no autorizado o revelaciones accidentales acorde a la
EDCOM
Pgina # 38
ESPOL

clasificacin otorgada por el origen y la funcin de la misma. Slo las personas

calificadas y autorizadas tendrn acceso a la informacin requerida bajo el
criterio de la necesidad de conocer y el principio de otorgar el mnimo
privilegio requerido para la realizacin de las tareas asignadas.
INTEGRIDAD: Tender a la ausencia de errores y/o corrupcin en toda su
informacin y garantizar que la informacin sea exacta, completa y vlida de
acuerdo con los valores y las expectativas de Banco, y regulaciones externas.
DISPONIBILIDAD: Minimizar las amenazas de interrupcin del negocio y
preservar la continuidad de la operatoria normal. Por lo tanto debe garantizar

que:
La informacin de alta criticidad sea resguardada;
La capacidad de procesamiento sea recuperada en tiempo y forma.
4.6.1.
PRINCIPALES DIRECTIVAS:
Las siguientes directivas regirn la implementacin de la Seguridad de la Informacin

en Banco:
Poltica General de Seguridad de la Informacin
Banco define que su Poltica General de Seguridad de la Informacin, y todas las
polticas derivadas, estn alineadas al estndar de seguridad ISO 27000, segn las
necesidades y particularidades de Banco. Esta definicin tambin regir para los
estndares especficos y
procedimientos apropiadamente detallados que
constituyen el marco completo de cobertura de la seguridad de la informacin de
Banco.
Organizacin de Seguridad
Para la Administracin de la Seguridad de la Informacin, Banco ha definido una
Gerencia de Seguridad de la Informacin, la cual reporta directamente a la Gerencia
de Riesgo.
As mismo, la Gerencia de Seguridad de la Informacin cuenta con el apoyo del Comit
de Seguridad de la Informacin.
4.6.2.
CLASIFICACIN Y CONTROL DE ACTIVOS DE INFORMACIN
La informacin de negocio de Banco, y todos los recursos TIC relacionados, debern

EDCOM
Pgina # 39
ESPOL

encontrarse inventariados, tener asignado un Propietario, y debern estar clasificados

segn su nivel de confidencialidad y criticidad para el negocio de Banco.
4.6.3.
ADMINISTRACIN DE RIESGOS DE SEGURIDAD
Se evaluarn los riesgos a los que estn sometidos los activos TIC de Banco. El rea de
Seguridad de la Informacin en conjunto con el Propietario del recurso TIC,
establecern los riesgos que pueden afectar a dicho recurso, las implicancias de su
exposicin, modificacin o acceso no autorizado y cules son las medidas de
proteccin que se debern implementar de acuerdo con el anlisis de riesgo efectuado.
4.6.4.
COMPETENCIA DEL PERSONAL EN MATERIA DE SEGURIDAD DE LA

INFORMACIN
El personal de Banco, ya sea permanente, temporal, o perteneciente a empresas

proveedoras de Banco, deber ser informado desde el momento de su ingreso de las
responsabilidades y derechos en materia de uso y proteccin de los recursos TIC de
Banco, se revisar anualmente estas responsabilidades. Se capacitar con y para el fin
de crear conciencia acerca de la importancia que adquiere este aspecto para la Entidad.
Se realizar un seguimiento del uso que se realiza de los recursos TIC para impedir
daos e interferencias y evitar interrupciones de las actividades de Banco.
4.6.5.
SEGURIDAD FSICA Y DE ENTORNO
Se proteger adecuadamente todos los recursos TIC y las reas donde estos residen,
contra accesos no autorizados y dao intencional o no intencional, implementando
medidas de proteccin acorde con la clasificacin de criticidad, confidencialidad y
riesgo otorgada a cada recurso.
4.6.6.
ADMINISTRACIN DE EQUIPAMIENTO, OPERACIONES Y

COMUNICACIONES
Se deber asegurar la disponibilidad de los equipamientos, la integridad de los procesos

operativos y la seguridad en las comunicaciones para garantizar un correcto
procesamiento de la informacin y resguardar la confidencialidad de la misma. Todas
las comunicaciones electrnicas con el exterior debern prever la encriptacin de los
datos.
EDCOM
Pgina # 40
ESPOL
4.6.7.

CONTROLES DE ACCESO
El acceso a los recursos TIC deber ser restringido de acuerdo con los requerimientos
de control establecidos por sus Propietarios y el rea de Seguridad de la Informacin,
bajo el criterio de la necesidad de conocer y el principio de mnimo privilegio. Dicho
acceso se asegurar a travs de procesos de autenticacin, autorizacin, monitoreo y
posterior auditora.
4.6.8.
DESARROLLO Y MANTENIMIENTO DE SISTEMAS
Los principios de seguridad de la informacin debern ser incorporados a los sistemas

aplicativos en todo el ciclo de vida de los mismos, incluyendo los procesos de
desarrollo, prueba, mantenimiento y puesta en produccin de los sistemas aplicativos.
Se debern prevenir prdidas, modificaciones o uso inadecuado de los datos, proyectos
y sistemas aplicativos de Banco.
4.6.9.
ADMINISTRACIN DE LA CONTINUIDAD DEL NEGOCIO
Se deber desarrollar y mantener los planes de recuperacin tecnolgica y continuidad

de negocio requeridos por los propietarios de los recursos TIC y el rea de Seguridad
de la Informacin, de forma tal de poder responder a eventos no deseados que impacten
de manera negativa sobre los procesos de negocio crticos para la Entidad.
Conformidad con Leyes, Regulaciones y Normas Internas
Se deber garantizar que la utilizacin de los recursos TIC no provoque infracciones o
violaciones de leyes, regulaciones, ni de las obligaciones establecidas por estatutos,
normas, reglamentos o contratos vigentes en cada mbito de actuacin.
Asimismo, se deber evaluar y asegurar el cumplimiento de las normas internas
(polticas, reglas, estndares, procedimientos) relativos a la Seguridad de la
Informacin.
EDCOM
Pgina # 41
ESPOL
CAPTULO 5
ANLISIS Y GESTIN DE
RIESGO

5. ANLISIS Y GESTIN DE RIESGOS

5.1.
METODOLOGA
Debido al gran nivel de importancia que tiene la informacin de la banca virtual, se

opt por utilizar la metodologa Magerit, ya que permite no solo valorizar los riesgos,
sino tambin permitir saber cunto de este valor est en juego y segn ese nivel
ayudar a proteger la informacin.
Con la metodologa Magerit podemos:
Concienciar a los responsables de los sistemas de informacin de
la
existencia de riesgos y de la necesidad de atajarlos a tiempo Ofrecer un mtodo

sistemtico para analizar tales riesgos.
Ayudar a descubrir y planificar las medidas oportunas para
mantener los
riesgos bajo control.
Preparar a las partes de que intervienen en la banca virtual de la
financiera para: procesos de evaluacin, auditora,
acreditacin, segn corresponda en cada caso.
5.2.
organizacin
certificacin o
ANLISIS DE GESTIN DE RIESGO
Esta etapa proceder a puntuar los activos que posee el banco (Banca Virtual) y en base
aquello a puntuar las amenazas, salvaguardas, estimar los riesgos y el impacto que
dichas amenazas producen sobre cada uno de los activos.
El anlisis de riesgos es una aproximacin metdica para determinar el riesgo

siguiendo unos pasos pautados:
Determinar los activos relevantes para la Organizacin, su
interrelacin y
su valor, en el sentido de qu perjuicio (coste) supondra su degradacin

Determinar a qu amenazas estn expuestos aquellos activos
Determinar qu salvaguardas hay dispuestas y cun eficaces son frente al
riesgo.
Estimar el impacto, definido como el dao sobre el activo derivado
materializacin de la amenaza.
Estimar el riesgo, definido como el impacto ponderado con la tasa
ocurrencia (o expectativa de materializacin) de la amenaza.
EDCOM
Pgina # 43
ESPOL
de la
de
5.3.

IDENTIFICACIN DE ACTIVOS
A continuacin se enlistan los activos incluidos en el servicio de estudio del entorno de

seguridad de la entidad:
ACTIVOS
Transacciones de
banca virtual
DESCRIPCIN
Servicios que pueden utilizar

los clientes
CARACTERSTICAS
CANTIDAD
Disponible las 24 horas
del da
del banco
Transaccin a travs de
Transferencias cuentas
propias
la cual los clientes pueden

transferir dinero entre sus
propias
cuentas
de
la
del da
institucin
Transacciones a travs de la
Transferencias terceros
mismo banco, otros
bancos SPI, directo e
internacionales
cuales los clientes pueden

transferir dinero a cuentas no
propias del mismo banco, a
otros bancos en batch o en

del da
lnea e incluso a bancos del

extranjero.
Pago de tarjetas de
crdito propias
Transaccin a travs de la cual

los clientes pueden realizar
pagos a sus propias tarjetas de

del da
crdito de la institucin
Pago de tarjetas de
Transacciones a travs de la
crdito de terceros
del da
mismo banco, otros
realizar pagos a
bancos SPI, directo e
crdito no propias del mismo
internacionales.
banco, a otros bancos en batch
tarjetas de
o en lnea e incluso a bancos
EDCOM
Pgina # 44
ESPOL

del extranjero.

Recarga de tarjetas
los clientes pueden realizar
de crdito
recargas de saldos a tarjetas de
del da
crdito
Servicios de consulta y
pago
de
servicios
pblicos en lnea y
base local
Transaccin a travs de las

consultar
cancelar
los
valores de servicios pblicos
del da
(luz, agua, telfono)

Consulta
de
central de crdito
los clientes pueden consultar

el
total
de
sus
deudas
registrados en la central de
del da
crdito del Ecuador.
Servicio para el envo de

Mensajera electrnica
notificaciones a los clientes

va correo electrnico
Servicios
de
Servicios
Informacin
de
publicar el sitio transaccional
Internet
que
sirven
para
en la internet
Microsoft
Exchange
Server
Internet
Information
Service 7
Componente que administra el

Sistema
hardware y software de un
Windows 2003 Server
Servidor
equipo
Edicin Estndar
Motor de Base de
Software
Datos
creacin y el funcionamiento
EDCOM
Operativo
que
permite
la
Pgina # 45
ESPOL
SqlServer 2008 Edicin

Profesional

de la base de datos
Software
para
programas
Antivirus y anti espas
que
evitar
alteren
el
correcto funcionamiento de las
Mc-Afee
pcs y
versin 4.0 con 200
servidores,
que
prohban el ingreso de cdigos

que
puedan
espiar
Profesional
licencias
las
actividades de un equipo de la
organizacin
Servidores virtualizados
Servidores
Windows Servidores que contienen las
BD
bases de datos SQLServer
con
procesadores
Pentium I7, Memoria
de 8 Gb y 1 Tb de disco
duro con SO Windows
2003 Server.
Servidores
Windows
FE
Servidores que contienen las
Servidores virtualizados
pginas
con
el
servicio
de
informacin de internet y otras
Pentium I7, Memoria
aplicaciones para el correcto
de 8 Gb y 1 Tb de disco
funcionamiento de la banca
duro con SO Windows
virtual
2003 Server.
Servidor que contiene la bases

de
Servidores Unix BD
datos
principales
en
ambiente Sybase
Estaciones de trabajo
Pcs de los funcionarios del
(Operadores de centro
banco
de
HP
PN:583967001 DL-380
20
De
redes e Infraestructura,
dependiendo
Pgina # 46
ESPOL
G7 E5640
Ghz en adelante
de
fsico
GX620 Pentium 4 de 3
Ingenieros
EDCOM
Servidor
Equipos Dell Optiplex
cmputo,
Administradores
procesadores
Gb
de
las

actividades
Desarrolladores)
80 Gb en disco duro
Uno para administrar la

comunicacin entre la
DMZ y la Red de
Produccin
Hardware
software
que
permite la administracin de
Cortafuegos
permisos de usuarios a travs

de las redes de la organizacin

comunicacin entre la
Red
del
Banco
proveedores
de
servicios
comunicacin entre las
otras redes internas del
Banco
Base SqlServer de datos

Base
de
clientes
datos
de
de
banca
Repositorio de informacin de
de clientes de la banca
los clientes de la banca virtual
virtual alojada en el
virtual
STOREBBSRV.
Base
Base
de
datos
transaccional de banca
virtual
las transacciones realizadas
por los clientes en banca
virtual
SqlServer
transaccionalidad
de
de
clientes en banca virtual

alojada
en
el
STOREBBSRV.
Base de datos de los
maestros de cuentas y
Repositorio
tarjetas de crdito y
corrientes y ahorros, tarjetas
maestros de cuentas de
dbito
de crdito y tarjetas de dbito.
ahorros,
de
cuentas
Base
Sybase
de
corrientes,
tarjetas de crdito y
EDCOM
Pgina # 47
ESPOL

dbito, alojadas en el
servidor central HP.
Base transaccional de
movimientos
las transacciones monetarias
cuentas
de
realizadas por los clientes
Base
Sybase
transacciones
de
de
clientes alojada en el
servidor central HP.
Base
Sybase
histrico
de
de
movimientos de clientes
alojada en el servidor
Bases histricas
Repositorios de informacin
central HP.
histrica de las bases de datos
Base
SqlServer
de
histrico
de
transaccionalidad
de
clientes en banca virtual

alojada
en
el
STOREBBSRV.
Respaldos en cinta
Red Local
Respaldos de informacin de
las bases de datos
Cintas HP que guardan

los datos de las bases
con una fidelidad alta
Sistema de comunicaciones
que permite la comunicacin
Dividida en subredes
entre los diferentes equipos de
de:
cmputo de la institucin
Desarrollo de sistemas
Pre-produccin
Produccin interna y
DMZ
Empleados
EDCOM
Pgina # 48
ESPOL
que
no

pertenecen a tecnologa
administrados por 20
switch de comunicacin
Ubicado en el centro de
la ciudad, en un edificio
de 5 pisos con sistema
central de climatizacin
y
Espacio
Edificio Matriz
fsico
donde
acceso
restringido
controlado
con
funcionan las instalaciones de
seguridad
la institucin y en el que se
(guardias de seguridad
encuentra
y empleados de reas
el
Centro
de
cmputo principal
fsica
restringidas)
seguridad
electrnica
(controles biomtricos:
torniquetes, lectores de
huellas
dactilares
tarjetas de acceso)
Ubicado en las afueras

Espacio fsico donde que se
encuentra
Centro alterno
el
Centro
de
cmputo de contingencia de la
institucin
de la ciudad, con un
espacio fsico de 20 m2
y
sistema
de
climatizacin y acceso
restringido.
Operadores de centro
Personal humano que labora
Ingenieros y Analistas
de
en la institucin y desempean
de Sistemas encargados
funciones
del
cmputo,
Ingenieros
Administradores
de
redes e Infraestructura,
que
estn
correcto
implicadas dentro del entorno
funcionamiento,
de la banca virtual
desarrollo
Desarrolladores
EDCOM
de
transacciones
Pgina # 49
ESPOL
nuevas
y
el
20

mantenimiento de los
componentes
de
la
banca virtual
Tabla 5-1: Identificacin de Activos
5.4.
VALORACIN DE ACTIVOS
Las valoraciones para escala cualitativa de Activos sern las siguientes de acuerdo a la
utilidad y servicio de cada una.
Muy Alta
Alta
Media
Baja
Muy Baja-
EDCOM
MB
MA
A
M
B
Pgina # 50
ESPOL

Activo
Disponibilidad
Confidencialida
d e Integridad
Valoracin
promedio
MA
MA
MA
MA
MA
Servicios de Informacin de
Internet
MA
MA
Sistema Operativo Servidor
MA
MA
Motor de Base de Datos
MA
MA
Antivirus y antiespas
MA
MA
Servidores Windows BD
MA
MA
Servidores Windows FE
MA
MA
Servidores Unix BD
MA
MA
Cortafuegos
MA
MA
Base de datos de clientes de

banca virtual
MA
MA
MA
Base de datos transaccional de

banca virtual
MA
MA
MA
Base de datos de los maestros

de cuentas y tarjetas de crdito
y dbito
MA
MA
MA
Base
transaccional
movimientos de cuentas
MA
MA
MA
MA
MA
Respaldos en cinta
MA
MA
Red Local
Edificio Matriz
MA
MA
Centro alterno
MA
MA
MA
MA
Tabla 5-2: Valoracin de Activos
MA
Transacciones de banca virtual

Bases histricas
Empleados
5.5.
de
INTERRELACIN DE LOS ACTIVOS
Para el cuadro de las relaciones y dependencias entre los activos se utilizar una nueva
columna con el fin de identificar por abreviaturas los activos.
EDCOM
Pgina # 51
ESPOL

Activo
Abreviatura
Transacciones de banca virtual
TRX_BV
MSG
Servicios de Informacin de Internet
IIS
SO
M_BD
Antivirus y antiespas
ANT
SW_BD
SW_FE
Servidores Unix BD
SU_BD
PCS
Cortafuegos
FRW
Base de datos de clientes de banca
BD_CBV
virtual
Base de datos transaccional de banca
BD_TBV
virtual
Base de datos de los maestros de
BD_MAE
cuentas y tarjetas de crdito y dbito

Base transaccional de movimientos de
BD_MOV
cuentas
Bases histricas
BD_HIS
Respaldos en cinta
BACKUP
Red Local
LAN
Edificio Matriz
EDIF.
Centro alterno
ALT
Empleados
RRHH
Tabla 5-3: Abreviatura de Activos
TRX_BV
MSG
EDCOM
X
X
Pgina # 52
ESPOL
RRHHRRHH
TRX_BV
MSG
IIS
SO
M_BD
ANT
SW_BD
SW_FE
SU_BD
PCS
FRW
BD_CBV
BD_TBV
BD_MAE
BD_MOV
BD_HIS
BACKUP
LAN
EDIF.
ALTALT
Teniendo en cuenta las dependencias para operar (disponibilidad) y de

almacenamiento de datos (integridad y confidencialidad) se ha determinado la
siguiente matriz de dependencia entre activos:

IIS
SO
M_BD
ANT
SW_BD
SW_FE
SU_BD
PCS
FRW
BD_CBV
BD_TBV
X
X
X
X
X
X
X
X
X
X
BD_MAE
BD_MOV
BD_HIS
BACKUP
LAN
EDIF.
ALT
RRHH
X
X
Tabla 5-4: Interrelacin de Activos
EDCOM
Pgina # 53
ESPOL

5.6.
AMENAZAS
Las amenazas identificadas en trminos de seguridad y disponibilidad del servicio de

banca virtual para los activos son las siguientes:
ACTIVOS
AMENAZAS
Servicio de banca virtual
Inconvenientes en produccin
Acuerdos legales
Cdigo malicioso
Paso de virus
Servicios de Informacin de Internet
Cada del servicio
Falla de software
Falla de hardware
Virus
Falla del servicio

Espacio en disco
Antivirus
Caducidad de las actualizaciones
Fallas de hardware
apagones de luz
intrusos
Fallas de hardware
apagones de luz
intrusos
Servidores Unix BD
Fallas de hardware
apagones de luz
intrusos
Estaciones de trabajo (Operadores de

centro
de
cmputo,
Ingenieros
Administradores
de
redes
e
Infraestructura, Desarrolladores)
Virus
Falsificacin de identidades
acceso a informacin no debida
Cortafuegos
Virus
falla de software
falla de hardware
Base de datos de clientes de banca

virtual
Robo de informacin
EDCOM
Pgina # 54
ESPOL

Base de datos transaccional de banca

virtual
Robo de informacin
Base de datos de los maestros de cuentas

y tarjetas de crdito y dbito
Robo de informacin
Base transaccional de movimientos de

cuentas
Robo de informacin
Bases histricas
Robo de informacin
Respaldos en cinta
Extravos
Deterioros de las cintas fsicas
Red Local
Acceso no autorizado
Cada de la red por hardware
Edificio Matriz
Incendio o terremoto
Centro alterno
Operadores de centro de cmputo,

Ingenieros Administradores de redes e
Infraestructura, Desarrolladores
Extorsiones
clientes
por
informacin
de
Tabla 5-5: Amenazas
5.7.
VALORACIN DEL IMPACTO
Las valoraciones de los impactos que causaren las amenazas identificadas para cada
uno de los activos sern las siguientes de acuerdo a la degradacin y violacin de
seguridad del servicio de cada una.
Muy Bajo
Bajo
Media
Alto
Muy Alto
1
2
3
4
5
Se valorar bajo los siguientes parmetros:

Costos de reposicin: adquisicin e instalacin del activo ms el costo de mano
de obra (especializada) invertida en recuperar el valor del activo.
Capacidad de operar: confianza de los usuarios y proveedores que se traduce
en una prdida de actividad o en peores condiciones econmicas.
Sanciones por incumplimiento de la ley u obligaciones contractuales.
EDCOM
Pgina # 55
ESPOL

Valoracin
Costo de Capacidad de
promedio
Reposicin
Operar del impacto
ACTIVOS
AMENAZAS
TRX_BV
Inconvenientes en
produccin
Acuerdos legales
Cdigo malicioso
Paso de virus
Cada del servicio
Falla de software
Falla de hardware
Virus
Falla del servicio
Espacio en disco
Caducidad de las
actualizaciones
Fallas de hardware
apagones de luz
Intrusos
Fallas de hardware
apagones de luz
Intrusos
Fallas de hardware
apagones de luz
Intrusos
Virus
Falsificacin de
identidades
acceso a informacin no
debida
Virus
falla de software
falla de hardware
Robo de informacin
MSG
IIS
SO
M_BD
ANT
SW_BD
SW_FE
SU_BD
PCS
FRW
BD_CBV
EDCOM
Pgina # 56
ESPOL

debida
Robo de informacin
Robo de informacin
debida
Extravos
LAN
Cada de la red por

hardware
EDIF.
ALT
RRHH
Extorsiones por
informacin de clientes
BD_TBV acceso a informacin no

debida
Robo de informacin
BD_MAE acceso a informacin no
debida
Robo de informacin
BD_MOV acceso a informacin no
debida
BD_HIS
BACKUP Deterioros de las cintas

fsicas
Tabla 5-6: Valoracin del Impacto
5.8.
CONTROLES
Ya que la base del funcionamiento del negocio de la entidad financiera radica en uso de
tecnologas y su principal proceso 7 x 24 son las transacciones disponibles para los
clientes en la banca virtual, nos fijaremos como meta trazada la de mantener en lnea y
funcionamiento los sistemas que permiten se realice este proceso. Las salvaguardadas
existentes son las siguientes:
EDCOM
Pgina # 57
ESPOL

ACTIVOS AMENAZAS
CONTROL
Pruebas tcnicas y funcionales en ambiente de desarrollo.

Inconvenientes Poltica de pases a produccin.
en produccin Usuarios de dominio o servidores para pases a servidores.
TRX_BV
Proteccin de inyeccin de cdigo.
Acuerdos
legales
Anlisis de departamento comercial y legal
Cdigo
malicioso
Eliminar servicio SMTP de servidores con IIS

Permisos hacia el servidor Exchange debidamente
documentados y autorizados por el rea de Seguridad
Informtica
MSG
Antivirus actualizados en pcs de usuarios y servidores

Paso de virus Administracin de correo interno y externo
Depuracin de cuentas de clientes y usuarios internos
IIS
SO
Cada del
servicio
Scripts y tareas automticas para restauracin,

Implementacin de recicladores de pools aplicativos de los
sitios publicados
Falla de
software
Determinacin de que actualizaciones del SO tener al da y

cuales no dependiendo de aplicativos
Falla de
hardware
Virus
Falla del
servicio
Mantenimientos de hardware y tunning de hardware en

horarios exclusivos
Antivirus actualizados
Planes de mantenimientos
M_BD
Espacio en
Alertas de avisos de espacio en disco
disco
ANT
SW_BD
EDCOM
Caducidad de
Sistema de registro de compras de licencias, fechas y
las
caducidad de antivirus
actualizaciones
Fallas de
hardware
Servidores de contingencia
Pgina # 58
ESPOL

apagones de
UPS
luz
Intrusos
Fallas de
hardware
SW_FE
SU_BD
Intrusos
Deteccin de comportamientos anormales
Fallas de
hardware
apagones de
UPS
luz
Virus

Falsificacin
UPS
de identidades
acceso a
informacin no Deteccin de comportamientos anormales
debida
Virus
FRW
apagones de
UPS
luz
Intrusos
PCS
falla de
software
falla de
hardware
Antivirus actualizados
Procedimiento de configuracin
Firewall de contingencia
Robo de
Sensores de usuarios de db conectados
informacin
BD_CBV
BD_TBV
EDCOM
acceso a
informacin no Asignacin de permisos por usuario
debida
Robo de Sensores de usuarios de db conectados
informacin
Pgina # 59
ESPOL

acceso a
debida
Robo de
informacin
BD_MAE
acceso a
debida
Robo de
informacin
BD_MOV
acceso a
debida
Robo de
informacin
BD_HIS
acceso a
debida
Extravos
BACKUP
LAN
Respaldo en bitcora
Deterioros de
las cintas Temperatura adecuada
fsicas
Acceso no
autorizado
Monitoreo de trfico de red
Cada de la red
Switches de contingencia
por hardware
EDIF.
Incendio o
terremoto
Poltica de desastres
ALT
Incendio o
terremoto
Poltica de desastres
RRHH
Extorsiones
por
Ingeniera Social
informacin de
clientes
Tabla 5-7: Controles
EDCOM
Pgina # 60
ESPOL
5.9.
5.9.1.

DETERMINACIN DEL RIESGO
FRECUENCIA DE OCURRENCIA DE LAS AMENAZAS
Para determinar las probabilidades con la que ocurra un evento que amenace la
integridad de los activos, vamos a utilizar la siguiente escala:
100 = muy frecuente a diario
10 = frecuente mensualmente
1 = normal una vez al ao
1/10 = poco frecuente cada varios aos
Cabe indicar que la tabla de frecuencias est basada en un anlisis estadstico.
ACTIVOS
AMENAZAS
FRECUENCIA
TRX_BV
Inconvenientes en
produccin
10
Acuerdos legales
Cdigo malicioso
100
Paso de virus
100
Cada del servicio
Falla de software
Falla de hardware
1/10
Virus
10
Falla del servicio
Espacio en disco
Caducidad de las
actualizaciones
10
Fallas de hardware
apagones de luz
Intrusos
100
Fallas de hardware
apagones de luz
Intrusos
100
Fallas de hardware
apagones de luz
Intrusos
100
Virus
10
Falsificacin de identidades
1/10
MSG
IIS
SO
M_BD
ANT
SW_BD
SW_FE
SU_BD
PCS
EDCOM
Pgina # 61
ESPOL

debida
10
Virus
10
falla de software
falla de hardware
Robo de informacin
100
Acceso a informacin no
debida
10
Robo de informacin
100
debida
10
Robo de informacin
100
debida
10
Robo de informacin
100
debida
10
Robo de informacin
100
debida
10
Extravos
10
Deterioros de las cintas

fsicas
100
LAN
Cada de la red por

hardware
10
EDIF.
1/10
FRW
BD_CBV
BD_TBV
BD_MAE
BD_MOV
BD_HIS
BACKUP
ALT
RRHH
Extorsiones por
informacin de clientes
Tabla 5-8: Anlisis estadstico
EDCOM
Pgina # 62
ESPOL
1/10
1

comercio electrnico para una nueva institucin bancaria aplicando los dominios
de control ISO27000:2005 y utilizando la metodologa Magerit
5.10. DOCUMENTO DE DECLARACIN DE APLICABILIDAD (SOA)
Declaracin de Aplicabilidad
Fecha de actualizacin:
Leyenda (para los controles seleccionados y las razones para la seleccin de los controles)
2011 Junio 01
RL: Requerimientos legales, OC: obligaciones contractuales, RN/MP: requerimientos de negocio/mejores prcticas adoptadas, RER: resultados de evaluacin
de riesgos, TSE: hasta cierto punto
ISO 27001:2005 Controles
Controles
Actuales
Controles
Seleccionados y
Razones para
Seleccin
Observacione
s
(Justificacin
de exclusin)
R
L
Clusula
Sec.
5,1
Poltica de
Seguridad
5.1.1
5.1.2
O
C
RN/
MP
Observaciones (Vista
general de los objetivos de
implementacin)
RER
Objetivo de Control/Control
Poltica de Seguridad de la
Informacin
Documento de Poltica de
Seguridad de la Informacin
Revisin de Poltica de Seguridad
de la Informacin
Controles
existentes
Controles
existentes
6,1 Organizacin Interna
EDCOM
Pgina # 63
ESPOL

6.1.1
6.1.2
6.1.3
6.1.4
Organizacin de
Seguridad de la
Informacin
Gestin de Activos
EDCOM
6.1.5
Gestin de Compromiso de
Coordinacin de Seguridad de la
Informacin
Asignacin de responsabilidades
de Seguridad de la Informacin
Proceso de autorizacin para
Instalaciones de Procesamiento de
Informacin
Acuerdos de Confidencialidad
6.1.6
Controles
existentes
Contacto con las Autoridades

Contacto con Grupos de Intereses
6.1.7
Especiales
Revisin Independiente de
6.1.8
6,2 Partes Externas
Identificacin de riesgos
6.2.1
relacionados con Agentes Externos
6.2.2
Manejo de Seguridad con Clientes
6.2.3
Manejo de Seguridad en Acuerdos

con Terceros
Controles
existentes
Controles
existentes
Controles
existentes
Controles
existentes
7,1 Responsabilidad de Activos

7.1.1
Inventario de Activos
7.1.2
7.1.3
7,2
7.2.1
7.2.2
Propiedad de los Activos

Uso Aceptable de los Activos
Clasificacin de la Informacin
Clasificacin de Directrices
Etiquetado y Manipulacin de la
Controles
existentes
Pgina # 64
ESPOL

Informacin
Seguridad de
Recursos Humanos
Seguridad Fsica y
Ambiental
8,1 Antes del Empleo

8.1.1 Funciones y Responsabilidades
8.1.2 Seleccin
Trminos y Condiciones de
8.1.3
Empleo
8,2 Durante el Empleo
8.2.1 Gestin de Responsabilidad
Concientizacin, educacin y
8.2.2 entrenamiento de la Seguridad de
la Informacin
8.2.3 Proceso disciplinario
8,3 Finalizacin o Cambio de Empleo
8.3.1 Culminacin de responsabilidades
8.3.2 Devolucin de Activos
8.3.3 Quitar Derechos de Acceso
Controles
existentes
9,1 Seguridad en reas

9.1.1
9.1.2
9.1.3
9.1.4
9.1.5
EDCOM
Permetro de seguridad fsica
Controles de entrada de personal

Seguridad de oficinas e
instalaciones.
Proteccin contra amenazas
externas y ambientales
Trabajo en reas seguras
Controles
existentes
Controles
existentes
Controles
existentes
Controles
existentes
Pgina # 65
Control con tarjeta de acceso

a los centros de cmputo y
establecer registro de control
de visitas
ESPOL

Acceso pblico, reparticin y reas

de carga
9,2 Seguridad de Equipos
Permanencia y Proteccin de
9.2.1
Equipos
9.2.2 Utilidades de Apoyo
9.1.6
Comunicaciones y
Gestin de
Operaciones
Seguridad de Cableado
9.2.4
Mantenimiento de Equipos
9.2.5
Seguridad de Equipos fuera de las

Instalaciones
9.2.6
Seguridad en reuso o eliminacin

de equipos
9.2.7
Eliminacin de Propiedad
Procedimientos de Operaciones y
Responsabilidades
Procedimientos de Operaciones
10.1.1
Documentados
10.1.2 Gestin del Cambio
Controles
existentes
9.2.3
Controles
existentes
Controles
existentes
Controles
existentes
Procedimiento a implementar
para cuando se migran
equipos fsicos a virtualizados
10,1
10.1.3 Separacin de Ambientes

Separacin de desarrollo y
operaciones de instalaciones
Gestin de servicios de
10,2
proveedores
10.2.1 Prestacin de servicios
10.1.4
EDCOM
Controles
existentes
Controles
existentes
Pgina # 66
ESPOL

10.2.2
10.2.3
10,3
10.3.1
10.3.2
10,4
Monitoreo y revisin de
proveedores
Gestin de cambios en
proveedores
Sistema de Planificacin y
Aceptacin
Capacidad de Gestin
Sistema de Aceptacin
Proteccin contra cdigo malicioso
y dispositivos mviles
10.4.1 Controles contra cdigo malicioso

Controles contra cdigo en
dispositivos mviles
10,5 Respaldo
Controles
existentes
Poltica a implementar para

calificacin de proveedores
10.4.2
10.5.1 Respaldo de Informacin
Existi un taller de prcticas y

luego se cre un
procedimiento.
Implementar encriptacin a
data sensible
Controles
existentes
Controles
existentes
10,6 Gestin de Seguridad en Redes

10.6.1 Controles de Redes
10.6.2 Seguridad de los Servicios de Red
Controles
existentes
Controles
existentes
Poltica de Monitoreo de
redes
10,7 Manejo de Medios

10.7.1 Gestin de Medios Extrables
10.7.2 Disposicin de Medios
Procedimientos de Manipulacin
10.7.3
de Informacin
Seguridad del Sistema de
10.7.4
Documentacin
10,8 Intercambio de Informacin
EDCOM
Controles
existentes
Control evadido por cambios

en regedit
Pgina # 67
ESPOL

Polticas y procedimientos de
intercambio de informacin
10.8.2 Acuerdos de Intercambio
10.8.3 Medios fsicos en trnsito
10.8.1
Controles
existentes
10.8.5
Controles
existentes
10.9.1 Comercio Electrnico
Controles
existentes
10.8.4 Mensajera Electrnica
Sistemas de Informacin de
Negocio
10,9 Servicios de Comercio Electrnico
Poltica de Correo
electrnico e Internet.
Control para correos por
salida de exchange desde
mquinas de Desarrollo o
Preproduccin que solicitan
Permiso
10.9.2 Transacciones en Lnea
Controles
existentes
10.9.3 Informacin pblica disponible
Controles
existentes
10.10.
Registro de Auditora
1
Controles
existentes
10.10.
Uso del Sistema de Monitoreo
2
Poltica de atencin de
incidentes en produccin Poltica de manejo de
ambiente de preproduccin.
10,10 Monitoreo
10.10. Proteccin del registro de

3
Informacin
EDCOM
Pgina # 68
Grabar todos los campos

necesarios para ciertas
transacciones
Poltica de Monitoreo de
redes - Poltica de
Monitoreo de Servidores
ESPOL

10.10.
Administrador y Operador de Log
4
10.10.
Registro de Fallas
5
10.10.
Sincronizacin
6
Control de Acceso
11,1
Requerimientos de Negocio para

Control de Acceso
11.1.1 Poltica de Control de Acceso
Controles
existentes
Poltica de accesos a las

bases de datos
11,2 Gestin de Acceso de Usuarios

11.2.1 Registro de Usuarios
11.2.2 Medicin de Privilegios
Administracin de contraseas de
Usuarios
Revisin de derechos de acceso de
11.2.4
Usuarios
11,3 Responsabilidad de Usuarios
11.2.3
Controles
existentes
Controles
existentes
Controles
existentes
Se debe migran algunas

contraseas de aplicaciones
antiguas que se encuentra en
EDCOM
Controles
existentes
11.3.1 Uso de contraseas
11.3.2 Equipo de Usuarios sin Vigilancia

Poltica de informacin
11.3.3
transparente
11,4 Control de Acceso a la Red
Pgina # 69
Regedit y en archivos planos

a Framework de Seguridad.
ESPOL

Poltica de Usos de Servicios de

Red
Autenticacin de Usuarios para
11.4.2
Conexiones Externas
11.4.1
11.4.3 Identificacin de Equipos en Redes
Diagnstico Remoto y
11.4.4 Configuracin de Proteccin de
Puertos
11.4.5 Segregacin de Redes
11.4.6 Control de Conexin de Red
11.4.7 Control de Enrutamiento de Red
11,5
11.5.1
Controles
existentes
Controles
existentes
Controles
existentes
Controles
existentes
Controles
existentes
Controles
existentes
Controles
existentes
Revisar el cumplimiento del

tiempo de ciertos permisos
Se debe implementar o
mejorar los mecanismos de
acceso a la banca virtual por
nueva ley de fraudes
electrnicos vigente a partir
del 23 de Marzo/2011
Funcionamiento del Sistema de

Control de Acceso
Procedimientos de Inicio de Sesin

Seguros
Identificacin y Autenticacin de
Usuarios
11.5.3 Sistema de Gestin de Contraseas
11.5.2
EDCOM
Controles
existentes
Controles
existentes
Controles
existentes
Pgina # 70
Mejora de la poltica para que

los oficiales del rea de
Seguridad Informtica tengan
el acceso desde su rea fsica
de trabajo, ya que es un riesgo
cuando deben ir al rea de
infraestructura a colocar las
contraseas en los equipos
ESPOL

11.5.4 Uso de Utilidades del Sistema
11.5.5 Tiempo de sesin
Controles
existentes
11.5.6 Tiempo Lmite de Conexin
Controles
existentes
Navegadores actuales dejan la

sesin del usuario abierta
cuando abandonan por el
botn de la ventana
Ajustar el tiempo para ciertas
transacciones o ciertos
usuarios en base a
identificacin de IP o
segmento de cliente
11,6 Aplicacin de Control de Acceso
11.6.1
Restriccin de Acceso de
Informacin
Controles
existentes
11.6.2 Aislamiento de Sistemas Sensibles

Computacin mvil and
11,7
Teleworking
Computacin mvil y
11.7.1
comunicacin
11.7.2 Teleworking
Adquisicin,
desarrollo y
mantenimiento de
sistemas
informticos
EDCOM
Requisitos de Seguridad de
Sistemas de Informacin
12.1.1 Anlisis y Especificaciones de
Requerimientos de Seguridad
Procedimiento aplicado a
medias, ya que existen
usuarios de desarrollo que en
sus aplicativos podran
solicitar acceso a produccin
y divulgar la informacin
12,1
Controles
existentes
Pgina # 71
Procedimiento netamente
tcnico, ya que el Ingeniero
de Procesos que prueba la
transaccin previo a salir a
produccin no hace todas las
validaciones necesarias.
ESPOL

12,2
Procesamiento Correcto en
Aplicaciones
12.2.1 Validacin de datos de entrada
12.2.2 Control de Procesamiento Interno
Controles
existentes
Controles
existentes
12.2.3 Integridad de los Mensajes
Controles
existentes
12.2.4 Validacin de datos de salida
Controles
existentes
12,3 Controles Criptogrficos
12.3.1
12.3.2
12,4
12.4.1
12.4.2
EDCOM
Poltica del uso de Controles

Criptogrficos
Controles
existentes
Administracin de Claves
Seguridad de Sistema de Archivo
Control de Software Funcional
Proteccin de datos de prueba del
Sistema
Aplicado a informacin
sensible. Actualmente la
organizacin se encuentra en
el proceso de PCI para
enmascaramiento y
aislamientos de tarjetas de
dbito y crdito
Pgina # 72
ESPOL

12.4.3
12,5
12.5.1
12.5.2
12.5.3
Gestin de
Incidente de
Seguridad de l
Informacin
Control de acceso a librera de

fuentes de programas
Seguridad en Desarrollo y
Procesos de Apoyo
Control de Cambio de
Procedimientos
Revisin tcnica de solicitudes
despus de cambios en el sistema
Restricciones en cambios a
Paquetes de Software
12.5.4 Fuga de Informacin
Debe
implementarse
poltica
12.5.5 Desarrollo Externo de Software
Controles
existentes
Controles
existentes
El rea aplicativa revisa y

realiza parches para superar
las vulnerabilidades
Controles
existentes
El rea de Monitoreo de
Seguridad Informtica se
encarga de esta tarea
12,6
Gestin de vulnerabilidades
tcnicas
12.6.1
Control de vulnerabilidades
tcnicas
13,1
Reportes de Evento y Debilidades

de Seguridad de la Informacin
13.1.1
Reportes de Eventos de Seguridad

de la Informacin
13.1.2 Reportes de Debilidades de

EDCOM
Pgina # 73
Poltica de usos de pendrives y Poltica de

informacin compartida
Validacin con rea de
Seguridad Informtica para el
desarrollo de software
Proveedores
ESPOL

Gestin y Mejora de Incidentes de

Responsabilidades y
13.2.1
Procedimientos
Aprendizaje de Incidentes de
13.2.2
13,2
13.2.3 Recoleccin de evidencias
Gestin de
Continuidad del
Negocio
Cumplimiento
EDCOM
Aspectos de Seguridad de la
14,1 Informacin de la Gestin de
Continuidad de Negocio
Inclusin de Seguridad de la
Informacin en Gestin de
14.1.1
procesos de continuidad del
negocio
Continuidad del Negocio y
14.1.2
Evaluacin de Riesgos
Desarrollo e Implementacin de
14.1.3 planes de continuidad incluyendo
seguridad de la informacin
Marco de planificacin de la
14.1.4
continuidad del negocio
Pruebas, mantenimiento and re14.1.5 evaluacin de planes de
continuidad de negocio
Complimiento de Requisitos
Legales
Identificacin de legislaciones
15.1.1
aplicables
15.1.2 Derechos de Propiedad Intelectual
Controles
existentes
Controles
existentes
15,1
Controles
existentes
Controles
Pgina # 74
ESPOL

15.1.3
15.1.4
15.1.5
15.1.6
15,2
15.2.1
15.2.2
15,3
15.3.1
15.3.2
( DPI)
Proteccin de registros de la
organizacin
Proteccin de datos y privacidad
de informacin personal
Prevencin del uso indebido de las
instalaciones de proceso de
informacin
Regulacin de controles
criptogrficos
Estndares y tcnicas de
cumplimiento de Polticas de
Seguridad
Cumplimiento de polticas de
seguridad
Verificacin de cumplimientos
tcnicos
Consideraciones del Sistema de
Informacin de Auditora
Controles del sistema de
informacin de auditora
Proteccin de herramientas del
sistema de informacin de
auditora
existentes
Controles
existentes
Tabla 5-9: SOA
EDCOM
Pgina # 75
ESPOL

5.11. CONTROLES A IMPLEMENTAR
Como resultado del anlisis de riesgos creemos que se deben implementar los
siguientes procedimientos y los cuales se describen al detalle en el siguiente captulo:
Poltica de manejo de ambiente de Preproduccin
Poltica del uso de Pendrives
Poltica de informacin compartida
Poltica de correo electrnico e internet
Poltica de Control de accesos
Poltica de Atencin de incidentes
Poltica de Monitoreo de Base de datos
Poltica de Monitoreo de Redes
Poltica de Monitoreo de Servidores
Control
Dominios de control de la
norma ISO27001
Objetivo
Ambiente de preproduccin
Desarrollo y
Probar las transacciones
mantenimiento de sistemas desarrolladas de la banca
virtual en un ambiente casi
como produccin para
minimizar los errores y dar
un servicio de calidad.
Uso de pendrives
para la seguridad
Evitar la fuga de
informacin de propiedad de
la institucin
Informacin
compartida
para la seguridad
Restringir y controlar los

accesos a ciertos
documentos
Correo electrnico e
Internet
Gestin de
comunicaciones y
operaciones
Evitar el mal uso del correo

electrnico y de la
navegacin en internet
Accesos a las bases de

datos
Control de accesos
Regularizar los privilegios

de usuarios de las bases de
datos
Atencin a incidentes
Desarrollo y
Procedimiento con el fin de
mantenimiento de sistemas atender alguna anormalidad
en produccin
Monitoreo de Base de
Desarrollo y
EDCOM
Pgina # 76
Revisin y alertas del

ESPOL

Datos
mantenimiento de sistemas desempeo y accesos no

autorizados a las bases de
datos.
Monitoreo de Redes
Desarrollo y
autorizados a las redes del
Banco.
Monitoreo de
Servidores
Desarrollo y
autorizados a los servidores
de la institucin.
Tabla 5-10: Controles a Implementar
EDCOM
Pgina # 77
ESPOL

5.12. PROCEDIMIENTOS DOCUMENTADOS.

5.12.1.
ATENCIN DE INCIDENTES
5.12.1.1.
OBJETIVO:
Asegurar la correcta y oportuna atencin y mitigacin de incidentes, de manera que no

se vea afectada la operacin normal de la banca virtual.
Notificacin y atencin inmediata de incidentes dentro de los plazos de tiempo.
Alertas: Monitoreo y verificacin de servicios, ejecucin de procesos, desempeo de la
plataforma.
LO NUEVO: Alertas del BAC
Todo servicio debe contar con su contingencia, desde que entra a PRODUCCIN.
Niveles de alertas:
ALERTA AMARILLA: Riesgo medio de que algn recurso pueda quedar fuera de
servicio.
ALERTA NARANJA: Riesgo alto de que algn recurso pueda quedar fuera de servicio.
ALERTA ROJA: Paralizacin total de un recurso o alta degradacin del mismo.
ESTADO DE EMERGENCIA: Afectacin grave de recursos / servicios del banco o
tiempo mximo de resolucin de problemas excedido.
Registro de incidentes en SISTEMA DE MANEJO DE NOVEDADES DEL
OPERADOR.
5.12.1.2.
RESPONSABILIDADES:
Dar voz de alerta: todo el personal que intervenga en el servicio online.

Registro de incidente en Sistema de Novedades, llevar control de tiempo
transcurrido en solucin, escalar / mantener informado del estado de la atencin
del problema a la Gerencia y Jefatura: Operador.
Atencin inmediata de incidentes, activacin de contingencias, planificacin de
acciones correctivas, actualizacin de PDC: Grupos de solucin.
Seguimiento de Novedades, cierre: AYC.
Revisin de documentacin tcnica actualizada: Control de Calidad.
Operador nicamente puede dar atencin a incidentes sencillos
documentados.
EDCOM
Pgina # 78
ESPOL

Personal involucrado en atencin de incidente debe permanecer en sitio hasta
mitigar problema.
Atencin y escalamiento en horario fuera de oficina:
Operador: 5 minutos
Jefe de Centro de Cmputo: 5 minutos
Grupo de solucin: 20 minutos.
Cambios entre nivel de alerta: 20 minutos.
5.12.1.3.
CLASIFICACIN DE ALERTAS
AMARILLA:
- Recurso degradado en 50%,
- Lentitud en tiempo de respuesta,
- ATM fuera de servicio,
- Irregularidad de HW/SW en equipos,
- Virus
- Otros
NARANJA:
-
Recurso degradado en 75%,

Tiempo de ALERTA AMARILLA excedido.
Segn impacto del incidente.
ROJA:
-
Recurso degradado en 99% o paralizado,

Tiempo de ALERTA NARANJA excedido.
5.12.1.4.
ESTADO DE EMERGENCIA
Tiempo de ALERTA ROJA excedido.

-
5.12.1.5.
NOTIFICACIONES:
ALERTA AMARILLA: Jefe de Centro de Computo,

alterno del servicio o recurso afectado, Stand-by de turno.
EDCOM
Pgina # 79
responsable principal o
ESPOL

5.12.2.
MONITOREO DE BASE DE DATOS
OBJETIVO: Definir las gestiones necesarias para garantizar el adecuado

funcionamiento de las bases de datos de los productos y/o servicios puestas en el
sistema central.
Monitoreo: nicamente con herramientas aprobadas por el banco. Herramientas deben
brindar informacin detallada (alertas, logs, espacio utilizado, calendarizacin de Jobs,
rendimiento, conexiones entre bases, procesos activos, transacciones demoradas,
bloqueos, otros).
- Bases a monitorear deben ser definidas entre Lderes Aplicativos y personal de Base
de Datos.
- Monitoreo segn esquema definido en la poltica de monitoreo:
Rendimiento BD Sybase
Rendimiento BD SQL
Espacio BD Sybase
Espacio BD SQL
A travs de la revisin de las bases de datos se debe identificar: rendimiento del estado
de la memoria en el servidor, disco, consumo del CPU, procesos ejecutndose, tiempo
de espera,
procesos Bach, entre otros.
En caso de error o fallo a nivel de base de datos, el operador enva mail de
notificacin a Grupo de Base de Datos y registra novedad de Sistema de Manejo de
Novedades.
- Al recibir la alerta, el personal de Base de Datos debe confirmar si persiste la alerta.
En caso de mantenerse, se debe notificar del incidente al Lder de Grupo y Subgerente
de IDS, e iniciar atencin.
Informar al Lder Aplicativo relacionado sobre los fallos presentados y las acciones que
se van a tomar para resolver el incidente.
Una vez solucionado el incidente, confirmar OK de bases de datos y procesos
afectados. Notificar del estado OK al Lder de Base de Datos y Subgerente de IDS.
Informe de gestin: mensual.
EDCOM
Pgina # 80
ESPOL
5.12.2.1.

RESPONSABILIDADES:
Lder de Grupo BD: Armar calendario de turnos y difundirlo (una vez

aprobado). Instruccin del personal a su cargo.
Subgerente de IDS: aprobar calendario de turnos. Revisin de informe y definir
acciones correctivas / mejoras.
Personal de BD: elaboracin y entrega de informe.
EDCOM
Pgina # 81
ESPOL

5.12.3.
MONITOREO DE REDES
5.12.3.1.
OBJETIVO
Verificar de manera constante la disponibilidad y funcionalidad de los dispositivos de

red; para deteccin, correccin y seguimiento oportuno de las fallas o incidentes que se
presenten.
Todo servicio del banco debe ser monitoreado y revisado constantemente para
garantizar su correcto funcionamiento.
ELABORACIN DE INFORME DE DISEO APROBADO POR SUBGERENTE
de IDS. Con acceso restringido. Entrega de informes: los 5 das hbiles del periodo
siguiente. Monitoreo de las Redes del BB debe ser efectuado a travs de aplicaciones
de uso autorizado en el banco y que generen informacin detallada sobre fallas o
errores. Tipos de monitoreo:
Seguridad Perimetral del IPS Tipping Point (mensual)
Uso de Ancho de Banda - Internet (cada 15 ds)
Disponibilidad Recursos Routers (mensual)
5.12.3.2.
RESPONSABILIDADES:
Monitoreo regular de la red y control de incidentes.

Entrega de informes: Personal de Redes.
Presentar propuesta de mejora segn resultados de informe: Jefe Redes.
Revisin y aprobacin de informes: Subgerente de IDS.
Publicacin de informe APROBADO: Personal de Redes.
5.12.3.3.
PROCEDIMIENTO:
Etapas:
1. Priorizacin de monitoreos a realizar.
2. Monitoreo y elaboracin de informe (incluye recomendaciones).
EDCOM
Pgina # 82
ESPOL
3.

Aprobacin y publicacin de informe.

5.12.4.
MONITOREO DE SERVIDORES
5.12.4.1.
OBJETIVO
Mantener ptimo rendimiento SERVIDORES a travs de monitoreo frecuente para

detectar riesgos o fallos y aplicar el seguimiento preventivo o correctivo.
Monitoreo: solo a travs de aplicaciones autorizadas por el banco, y que brinden
informacin detallada de eventos.
Tareas a ser monitoreadas: Son definidas por Lderes Aplicativos y especificadas en la
documentacin tcnica asociada. Una vez aprobado, monitoreo debe ser implementado.
Cambios en servicio / servidor deben ser notificados por Lder Aplicativo a IDS y AYC
(actualizacin de documentacin).
Complementar tareas de monitoreo con revisin peridica de servidores. A la deteccin
de fallos, la novedad se registra en el Sistema de Manejo de Novedades (operador). El
escalamiento al personal de IDS solo cuando se requiera una revisin especializada.
LO HUEVO: Alertas BAC
Atencin de fallos por parte de Grupo de Servidores incluye confirmar si persiste el
problema, analizar estatus de servicio / dispositivo afectado. Registrar en el Sistema de
Novedades el detalle de acciones a tomar y clasificar como CRITICO/NO CRITICO:
NO CRTICO: solucin directa.
CRITICO: requiere ayuda de grupo de otros grupos de solucin. Persona que atiende
el fallo debe cerrar novedad en Sistema de Manejo de Novedades e informar del estado
del incidente a Lder de Grupo y Subgerente de IDS. Envo de informe con actividades
atendidas al final de da / turno. Cambios de configuracin de servidores nicamente
con OK del Lder de Grupo, Subgerente de IDS y Lder Aplicativo.
EDCOM
Pgina # 83
ESPOL
5.12.4.2.

RESPONSABILIDADES:
Personal de Servidores: Atencin de incidentes, envo de informe con tareas

atendidas, elaboracin y envo de informe de monitoreo diario.

Lder Grupo Servidores: Elaborar informe de disponibilidad de
servicio (compendio de informes de atencin diaria) y proponer mejoras.
Subgerente de IDS: revisar informe y aprobar acciones correctivas (en conjunto
con Gerencias / subgerencias del rea).
Uso de claves de servidores a discrecin.
5.12.4.3.
1.
2.
3.
4.
5.
6.
PROCEDIMIENTO:
Recibe notificacin de incidente.

Busca informacin del problema en logs de herramienta de monitoreo.
Realiza pruebas, verificando si persiste el problema.
Catalogan incidente (normal o crtico) y determinan acciones a tomar.
Solucionan problema(s) y comprueba en la herramienta de monitoreo.
Informe de solucin a involucrados, reportes diarios, Sistema de Manejo de
Novedades.
7. Elaboracin de informe a fin de mes y aprobacin del Subgerente de IDS.
EDCOM
Pgina # 84
ESPOL

5.12.5.
POLTICA DE MONITOREO
5.12.5.1.
OBJETIVO
Monitoreo
del
funcionamiento,
rendimiento,
mantenimiento
y
comportamiento de elementos de la infraestructura tecnolgica.
Todo servicio que se brinda debe ser monitoreado y revisado para garantizar su
funcionalidad.
Informes compartidos en file server, con acceso restringido. Definir responsable y
periodicidad de entrega.
Informes mensuales: Plazo de entrega hasta 5 das hbiles del mes siguiente.
5.12.5.2.
Monitoreo por elemento
INFRAESTRUCTURA (IOS):
-
Recursos disponibles asignados y cambios de mquinas virtuales (IDS)

Disponibilidad de servicios (IDS)
Revisin de estado de antivirus (IDS)
REDES:
Seguridad perimetral del IPS

Uso de ancho de banda
Uso de switch
BASE DE DATOS:
- Rendimiento de Sybase / SQL

- Espacio disponible de datos, Sybase / SQL.
SOPORTE:
-
Seguridad de correo
Navegacin y contenido (Internet).
5.12.5.3.
ARQUITECTURA:
Monitoreo de plataforma de integracin
5.12.5.4.
RESPONSABILIDADES:
Lder de Grupo de Solucin: Asegurar que se cumplan las actividades de

monitoreo y entrega de informes.
Subgerente responsable: Revisin de informes y determinar acciones a tomar.
AYC: Revisar disponibilidad de informes.
EDCOM
Pgina # 85
ESPOL

Polticas de manejo de ambiente de Preproduccin

General:
El ambiente Preproduccin no ser utilizado para desarrollar aplicaciones, este
ambiente est destinado para realizar pruebas de usuarios final..
Todas las aplicaciones existentes y nuevas con sus mejoras o cambios deben ser
probadas en este ambiente Pre-produccin, antes de instalarlas en el ambiente
de Produccin.
La administracin de este ambiente estar bajo la responsabilidad de Bases de
Datos por el lado de Ingeniera, el jefe de desarrollo y el jefe de Banca Virtual.
Slo el administrador de desarrollo manejar el cambio de fecha del kernel, el
mismo que debe coordinar con el grupo de desarrollo y el rea de productos el
momento apropiado para hacer dicho cambio.
En este ambiente no se ejecutar procesos de produccin
Se tendr que delegar un backup del Jefe de Desarrollo, el administrador backup
tomar accin solo si el administrador principal no se encontrare disponible.
Se definirn un grupo de usuarios de consulta en este ambiente Pre-produccin,
los mismos que sern utilizados por los desarrolladores en la verificacin de
data resultado de las pruebas efectuadas por los usuarios finales.
El ambiente Desarrollo y Pre-Produccin fsicamente son los mismos por lo
tanto los mismos directorios se van a visualizar en los dos ambientes. La
diferencia entre los ambientes es que cada uno tiene su propio ambiente
SYBASE.
El grupo de banca virtual tendr un usuario como dbo de sus bases para sus
propias compilaciones.
Ser responsabilidad de Ingeniera Base de Datos
Subir la informacin de respaldo (dump), el administrador de desarrollo debe
coordinar con los implicados y definir el set de datos a cargar, se debe notificar
la orden de carga a Base de datos con 24 horas de anticipacin.
Crear un usuario operador con los accesos necesarios para realizar los pases. El
buen uso del usuario operador es responsabilidad del administrador de
desarrollo.
Crear los usuarios aplicativos de lectura a la base.
Actualizar los password de los usuarios de cobis, cada vez que se realice un
dump de la base cobis.
Replicacin al ambiente branch Windows
Se harn copias actualizando el filesystem /fuentes del ambiente Pre-produccin
EDCOM
Pgina # 86
ESPOL

con la informacin almacenada en el filesystem /fuentes de Produccin. La

copia debe ser solicitada por el administrador de desarrollo y avalada por
Administracin y control
En caso de tener problemas con el ambiente (conectividad, performance, etc.)
ser comunicado a Base de Datos para su solucin. Base de datos informar al
administrador de desarrollo del problema y el tiempo necesario para su
solucin.
Crear el usuario dbo para las bases de Banca Virtual
Ser responsabilidad de Desarrollo
Ejecutar los pases de desarrollo en dicho ambiente..
Luego de haber compilado se enviar la confirmacin va mail.
Mantener la confidencialidad de la clave del usuario operador.
Facilitar a los desarrolladores la creacin de mens para ejecucin de batch.
Ser responsabilidad de Banca Virtual
Ejecutar los pases de banca virtual en dicho ambiente.
Luego de haber compilado se enviar la confirmacin va mail.
Mantener la confidencialidad de la clave del usuario de banca virtual.
Ser responsabilidad de Desarrollo Banca virtual Lderes aplicativos.
Cada aplicativo deber generar un archivo con la lista de los programas a
compilar y enviar la solicitud de compilacin va mail con la ruta del archivo
generado. Esta lista deber contener la ruta completa del programa a compilar
en orden de ejecucin (script's, spsql y sqr), en caso de que el pase incluya bcp
de archivos, o alguna otra consideracin especial se deber enviar
obligatoriamente el archivo cmd.
Revisar que los cambios que se estn pasando no afecten a los productos que se
encuentren haciendo pruebas
Informar a todo desarrollo
los
cambios
generales
que
afectan
la
interoperabilidad con los otros mdulos.

Plantear un esquema de reverso de los cambios realizados (datos y objetos
DDL) en el ambiente Pre-produccin, de tal manera que el borrado de datos o
cambios no deseados puedan reversarse oportunamente.
Actualizar en el mdulo de batch de nuevos programas o cambios en los mens
para generacin de mismo en las pruebas.
Ejecutar sus procesos batch por mens.
EDCOM
Pgina # 87
ESPOL

Ser responsabilidad de Productos

Enviar copia del requerimiento a Control de Calidad.
Entregar Plan de pruebas a Control de Calidad con 15 das de anticipacin al
inicio de las mismas.
Solicitar al(los) Administrador(es) de desarrollo del ambiente asignacin de
fechas de pruebas y horarios con tiempo de anticipacin.
Comunicar a Desarrollo y Productos el horario de pruebas para evitar conflictos
entre grupos de trabajo.
Solicitar a Contralora la creacin de transacciones autorizadas.
Ser responsabilidad de Control de Calidad
Revisar / Aprobar plan de pruebas del proyecto.
Ser responsabilidad de Contralora
Creacin de procedimientos, transacciones, catlogos, roles, etc.
Asignacin de transacciones a roles
Ambiente de Informacin
Dada a la gran cantidad de requerimiento de informacin que solicitan constantemente
los organismos de control se estableci:
Crear un device, y denominarlo cob_base.(en desarrollo), la cantidad de espacio
asignado depender de la disponibilidad de almacenamiento. Esto ser
notificado por Base de Datos a los involucrados en el proceso.
La disponibilidad del ambiente estar bajo la responsabilidad de Jefe de
desarrollo.
Toda solicitud de informacin debe ser aprobada por Contralora.
La subida de informacin estar bajo la responsabilidad de Base de Datos, la
subida de informacin debe ser coordinada con 24 horas de anticipacin.
EDCOM
Pgina # 88
ESPOL
5.12.6.

POLTICA DE CONTROL DE ACCESO

5.12.6.1.
OBJETIVO
Crear procedimientos para la asignacin de permisos y control de accesos a bases de

datos.
5.12.6.2.
ALCANCE
Permisos y control de acceso asignados a personal de Computacin a los sistemas

informticos computacionales del Banco.
5.12.6.3.
PERFILES DE USUARIOS
Los usuarios se crearn bajo los siguientes perfiles:

Administrador de la Base de datos: login adminbd
Oficial de Seguridad: login of_seg

Operador: Login de Usuarios Operadores de Centro de Cmputo
Lectura: Login de Desarrolladores de Banca Virtual y Desarrollo
Actualizadores: Usuarios aplicativos de sistemas.
5.12.6.4.
POLTICA:
Seguridad Informtica administrar el control de acceso a la base de datos Sybase de

produccin. Seguridad Informtica autorizar la asignacin de permisos de usuarios a
bases de datos SQLsrv y sistemas operativos de los servidores NT.
Seguridad Informtica en los casos que estime necesario solicitar autorizacin a
Contralora para otorgar permisos.
Otorgar permisos a requerimientos del lder aplicativo, y Jefe de Desarrollo a travs de
los formularios de seguridad. Los permisos sern solicitados por medio de los
formularios elaborados. Todo usuario ser personal y deber llenarse el Acta de
compromiso.
IDS administrar el control de acceso a las bases de datos SQLsrv de los servidores NT
de Produccin. Administrar el control de acceso a los sistemas operativos de los
servidores NT y HP del Banco.
EDCOM
Pgina # 89
ESPOL

Todo permiso a los diferentes sistemas de bases de datos, sistemas operativos y acceso
fsico al centro de cmputo del Banco ser aprobado por Seguridad Informtica.
Seguridad Informtica autorizar permisos solamente a logines personalizados.
Los permisos sern asignados a travs de los formularios:
Bases de datos sybase
Bases de datos SQL
5.12.7.
PERMISO DE RED O SISTEMAS OPERATIVOS
Los requerimientos de permisos llegarn a Seguridad Informtica, los analizar,

evaluar, consultar con los responsables aplicativos y aprobar o rechazar solicitud.
Si un lder aplicativo no recomienda algn permiso Seguridad Informtica, rechazar la
solicitud.
Los permisos de accesos a la base de datos sybase de Produccin sern ejecutados por
Seguridad Informtica. Los permisos a usuarios aplicativos solo se asignarn de lectura
y de acceso a tablas, no se concede permiso a ejecutables. Los cambios de password
deben ser inmediatamente recibidos el nuevo login.
El password de operadores y administradores debe cambiarse en produccin y
replicador.
El password de desarrolladores debe cambiarse solo en produccin.
Los permisos a la base de datos Seguridad Informtica conceder solamente a los
aplicativos asignados. Los accesos a datos de cuentas corrientes y ahorros Seguridad
Informtica asignarn solamente a personal autorizado del grupo de cuentas. Las
siguientes tablas de las correspondientes bases de datos solo sern concedidas a
personal de Cuentas:
EDCOM
Pgina # 90
ESPOL

ase
Cuentas
Tablas
cc_ctacte, cc_ctacte_fin, cc_ctacte_agd

cc_his_movimiento, cc_his_disponible
Cuentas_his
cc_his_movimiento_ant,cc_his_disponible
_ant
Cuentas_acum
cc_his_movimiento_acum
Ahorros
ah_cuenta, ah_cuenta_fin, ah_cuenta_agd
Ahorros_his
ah_his_movimiento, ah_saldo_diario
Ahorros_acum
ah_his_movimiento_acum
Tabla 5-11: Tablas
Las tablas correspondientes de diferido para Banca Virtual solo sern autorizadas al
responsable del departamento, en el caso de ATMs se conceder slo al lder aplicativo.
Seguridad Informtica restringir el acceso en lnea a las bases acum y his por el
volumen o tamao de estas bases.
Los permisos de accesos a servidores NT y bases de datos SQL aprobados los
canalizar a travs de IDS para su ejecucin. Los permisos a usuarios aplicativos a
bases de datos solo se asignarn de lectura y de acceso a tablas, no se concede permiso
a ejecutables.
Se entregarn usuarios de login con el standard: GGonzaleR, de donde se escribe la
inicial del primer nombre, seis caracteres por el apellido y la inicial del segundo
apellido. El uso y custodia de la clave de acceso es de exclusiva responsabilidad del
usuario y no deber permitir que terceros accedan a ella.
Los accesos en produccin a usuarios aplicativos queda restringido al siguiente horario:
EDCOM
Pgina # 91
ESPOL

lunes a viernes estarn bloqueados de 10am a 5pm, los usuarios del grupo de
mantenimiento de 10am a 2pm. Los fines de semanas estarn bloqueados totalmente.
Estos bloqueos se harn automticamente. El levantamiento del bloqueo de fin de
semana se realizar los lunes 7H00.
Seguridad Informtica podr suspender o revocar las claves de acceso, sea por motivos
de mal uso de las aplicaciones bancarias, por sospecha de indebida utilizacin, no
compromiso de la seguridad tecnolgica o por otras circunstancias.
Los empleados que sean sorprendidos haciendo uso de claves no permitidas a su nivel
sern sancionados de acuerdo con las circunstancias. Esta conducta es causal de visto
bueno y podr determinar el despido.
5.12.8.
POLITCA DE CUENTA
Se tiene grupos diferenciados con acceso a produccin y los cuales detallamos a

continuacin:
5.12.8.1.
USUARIO SA
Se cambiar este password cada mes.
Los usuarios con caractersticas del SA pueden ser: El Administrador de la

Base de datos, Seguridad Informtica como Administrador de control de
accesos a la base de datos y el Administrador del sistema central.
5.12.8.2.
USARIO DE CONSULTA / LECTURA
El acceso de desarrollo ser solamente de lectura.
El usuario de consulta es para revisin de problemas.
Debern regirse al horario de uso asignado.
Deben conectarse solo por el tiempo necesario, no debern mantener

conexiones abiertas por largo tiempo, peor de un da al otro.
Los permisos sern otorgados de acuerdo al grupo aplicativo que manejen.
5.12.8.3.
APLICATICATIVOS/ACTUALIZACIONES
Usuarios creados para manejo interno en las aplicaciones
Estos usuarios no deben ser conectados en equipos no autorizados (rea de

desarrollo)
EDCOM
Pgina # 92
ESPOL

Los password de estos usuarios deben cumplir con la poltica de seguridad

(encriptamiento)
5.12.8.4.
OPERADORES
Por poltica slo los operadores podrn sacar respaldos y restaurar.

El usuario Operador para los procesos batch tendr acceso con rol SA.
El usuario operador es el nico autorizado para compilacin de programas
5.12.8.5.
ADMINISTRADORES DE BASE DE DATOS
Por poltica realizar monitoreo de la base de datos

No puede realizar consultas a informacin de la base
Alertar sobre mal uso de los recursos de la base
5.12.8.6.
OFICIAL DE SEGURIDAD
Realizar la creacin y eliminacin de usuarios.

Asignacin de permisos y seguimiento de usuarios.
5.12.9.
POLTICA DE PASSWORD
Longitud del password: superior o igual a 8 caracteres.

Expiracin de la clave: 90 das.
Para administradores cambiar cada 30 das.
El nmero de sesiones concurrentes de un mismo
limitado.
El usuario debe ser usado en el equipo personal a l asignado.
El password es personal e intransferible.
usuario
es
5.12.10. ACTA DE COMPROMISO
Para revisin de problemas en ambiente de Produccin en el Centro de Cmputo del

Banco, se han establecido claves de acceso a bases de datos, con el objeto de que se
pueda leer nicamente la informacin o datos a los que se est autorizado.
En tal virtud me comprometo a cumplir las polticas de seguridad de datos que tiene
implementadas el Banco
5.12.10.1.
POLTICAS:
1. De acuerdo con la Ley General de Instituciones del Sistema Financiero, la

informacin que guarda la institucin est sujeta al Sigilo Bancario.
EDCOM
Pgina # 93
ESPOL

2. Cualquier mal uso de este permiso para revisar las bases de datos o incumplimiento
del procedimiento de seguridad de datos, ser objeto de sanciones segn las
circunstancias. Esta conducta puede motivar el trmino de la relacin laboral.
3. La clave de acceso es personal e intransferible y debe ser cambiada cada 2 semanas
por el responsable de la misma.
4. Est terminantemente prohibido que empleados o externos no autorizados accesen
directamente a los datos, archivos o libreras para su lectura o modificacin.
Teniendo la responsabilidad absoluta la persona que suministre la clave de acceso
para que se incumpla esta disposicin.
5.12.10.2.
DECLARACIN:
Declaro libre y voluntariamente que conozco las polticas de seguridad de claves de

acceso a la base de datos en ambiente de produccin del Centro de Cmputo del
Banco y declaro que har buen uso de la clave que me ha sido asignada y acepto el
establecimiento de las sanciones que el banco estimare pertinente por el mal uso de
la misma.
Fecha: ________________________________________
Nombre: _______________________________________
Cargo: _________________________________________
Firma: _________________________________________
Login: _________________________________________
EDCOM
Pgina # 94
ESPOL

5.12.11. POLTICA DE USO DE PENDRIVES

5.12.11.1.
OBJETIVO
Regular el uso de pen-drive o flash drive en los equipos de computacin de la

institucin.
Evitar el flujo de informacin a travs de estos dispositivos no autorizados.
5.12.11.2.
GENERALIDADES
Los dispositivos removibles siempre van a existir, actualmente se estn sacando de

circulacin las disqueteras pero igualmente se crean otros como los dispositivos en
discusin el USB pen-drive o tambin llamados USB flash disk y tantos otros. En este
caso son dispositivos de lectura y grabacin como cualquier disquete o disco duro
(disco extrable), con altas capacidades como 4GB y 8GB, totalmente portables, en la
mayora de los casos plug and play.
5.12.11.3.
MOTIVO DE LA REGULACIN
Realmente es bastante difcil controlar estos dispositivos por cuanto no tienen una
identificacin como nmero de serie, lo cual impide controlar su duplicacin o
identificar los dispositivos autorizados. Tampoco es posible mantener control de red
con unicenter sobre los puertos para el uso de estos dispositivos.
5.12.11.4.
POLTICAS
5.12.11.4.1. DRIVER USB DESHABILITADO
Al solicitar las computadoras los usuarios deben solicitar a travs de su Gerente de

Area el driver USB habilitado de lo contrario el equipo ser entregado con este puerto
deshabilitado. Es decir el driver USB estar habilitado solamente por pedido del
Gerente de rea. Helpdesk notificar a travs de la Hoja de Instalacin de Software el
estado en que queda el driver. Una copia deber reposar en los archivos de AyC.
EDCOM
Pgina # 95
ESPOL

5.12.11.4.2. MONITOREO DE DRIVERS HABILITADOS
Por Unicenter IDS/Helpdesk monitorear los drivers habilitados y deshabilitados, los

casos de drivers habilitados los verificar contra las instalaciones de software, de
encontrar casos incongruentes los reportar al usuario y a AyC. Proceder a
desahabilitar el puerto de ser necesario.
5.12.11.4.3. PASSWORD, ENCRIPTACIN Y RESPALDO DE ARCHIVOS
El usuario deber asegurarse de grabar sus archivos o data sensitiva con password. El
manejo y cuidado del password correr bajo responsabilidad del usuario final ver
Poltica de Identificacin de Usuarios y contraseas-.
Dependiendo del alto nivel de sensibilidad debe encriptar sus archivos.
En todos los casos deber sacar respaldos a medios externos.
5.12.11.4.4. CARPETAS COMPARTIDAS DE RED
El usuario deber colocar sus archivos o data sensitiva fuera de carpetas compartidas
con varios usuarios y deber analizar y restringir los casos innecesarios a compartir, ver
poltica de Informacin compartida.
5.12.11.4.5. PEN-DRIVE AUTORIZADO
Estn autorizados a usar Pen-drive los Gerentes de Area y Divisin y quienes estas
personas autoricen. Las personas autorizadas deben estar comunicadas a la Gerencia de
Computacin.
5.12.11.5.
ADVERTIR A USUARIOS
Comunicar o advertir de manera general la existencia de estos dispositivos para

mejor cumplimiento de estas disposiciones.
El usuario deber bloquear o apagar su equipo cada vez que se movilice de su
puesto.
No dar password de desbloqueo o de inicio del equipo a nadie.
Cambiar su password peridicamente, recomendado cada dos meses
dependiendo de la sensibilidad de sus datos el perodo debe ser ms corto.
EDCOM
Pgina # 96
ESPOL
5.12.11.6.

Poltica de informacin compartida
Objetivos :
Difundir los riesgos de compartir directorios y/o archivos;
Definir la poltica y establecer el procedimiento para excepcin de la misma.
5.12.11.6.1. RIESGOS DE COMPARTIR DIRECTORIOS Y/O ARCHIVOS
El compartir informacin a travs de la red, se ha convertido en una utilidad riesgosa

para la seguridad de nuestra informacin, equipo y red institucional. Est comprobado
que el compartir archivos y/o directorios, es un camino seguro al contagio de virus
informticos que puedan ingresar desde un equipo y desplazarse por la red; adems que
la informacin en los computadores es de carcter confidencial y no puede estar libre
para cualquier usuario por el riesgo de fuga de informacin de manera interna o externa
a travs del correo electrnico o dispositivos de almacenamiento.
Cada persona que labora en el Banco, tiene la responsabilidad de salvaguardar el
equipo que se le asigna as como la informacin que contiene y genere como producto
de su trabajo.
5.12.11.6.2. SISTEMA DE DOCUMENTACIN
Recomendamos el uso del servicio del sistema de documentacin para compartir

archivos. Ver Poltica del Sistema de Documentacin y el Manual del Usuario del
Sistema de Documentacin.
Este servicio tiene como finalidad, atender la necesidad de compartir archivos, dentro
de la red del Banco; lo cual no es posible realizar por limitaciones tcnicas en la
herramienta de correo electrnico ni por procedimiento a travs de carpetas
compartidas en la red.
EXCEPCIONES
Las excepciones sern dirigidas al Oficial de Seguridad Informtica para su evaluacin,
EDCOM
Pgina # 97
ESPOL

definicin y atencin.
Objetivo :
Establecer polticas y procedimientos claros y giles para solicitar cuentas de mail

tanto internos como externos, as como acceso la navegacin a Internet.
Definir ciertas recomendaciones para asegurar el buen uso de las herramientas de
correo e Internet.
EDCOM
Pgina # 98
ESPOL

5.12.11.6.3. POLTICA DE CORREO ELECTRNICO E INTERNET

1.
Todos los empleados que por sus responsabilidades y funciones necesiten

contactarse va mail con otras reas, departamentos u oficinas, podrn solicitar
correo interno de acuerdo a los procedimientos que se establecen en este
documento.
2.
Todos los colaboradores y funcionarios que por sus responsabilidades y

funciones necesiten contactarse va e-mail con compaas y/o organismos
externos, podrn solicitar correo externo de acuerdo a los procedimientos que se
establecen en este documento.
3.
Ciertos cargos ya establecidos tendrn asignado cuentas de correo (interna y/o

externa) como parte de las aplicaciones necesarias para el cumplimiento de sus
funciones. Esto no los exime de cumplir con los procedimientos que se
establecen en este documento.
4.
La navegacin en Internet slo se permitir en casos estrictamente necesarios, y

con permisos restringidos a las pginas donde se amerite su uso, a aquellos
funcionarios que por sus funciones y responsabilidades, debidamente
justificadas, lo soliciten conforme a los procedimientos que se establecen en
este documento.
En cualquiera de los casos antes mencionados, se requerir el pedido formal del

servicio a travs del formulario establecido para este fin.
5.12.11.6.3.1. PROCEDIMIENTO
Para solicitar cuentas de correos y navegacin a internet, los formularios de las

solicitudes debern ser enviados exclusivamente por la Gerencia de
Departamento/Oficina al Oficial de Seguridad Informtica y/o Gerencia de Productos.
Los formularios debern venir con la respectiva justificacin de este requerimiento
llenando todos los campos solicitados en este.
La Gerencia de Productos podr realizar evaluacin de dichas funciones en caso de que
lo considere necesario, y proceder a contestar dicha peticin, en un lapso no mayor a
una semana.
El oficial de Seguridad Informtica realizar una evaluacin tcnica de la peticin, esto
incluye disponibilidad de licencias, posibilidades de congestin del enlace, etc; y
proceder a contestar dicha peticin, en un lapso no mayor a una semana.
EDCOM
Pgina # 99
ESPOL

En caso de ser aprobado, se entregar la aprobacin al Administrador de Correos, quien

habilitar el servicio en el lapso no mayor a una semana y le comunicar a la Gerencia
de rea/Banca que solicit dicha cuenta de mail.
En caso de no ser aprobado, la Gerencia de Productos y/o el Oficial de Seguridad
Informtica, comunicar a la Gerencia de Area/Oficina las razones por las cuales fue
negada su peticin.
5.12.11.7.
RECOMENDACIONES
5.12.11.7.1. CORREO ELECTRNICO
El correo electrnico o mail (Exchange, Outlook o Webmail) es una herramienta que

permite enviar mensajes a travs de la red a otros usuarios conectados a la misma. Su
uso es similar al correo que conocemos; existe el concepto de oficina de correo (que es
un servidor) a donde llegan temporalmente los mensajes para que luego estos viajen al
usuario destino. El tiempo en que un mensaje llega de un remitente a uno o ms
destinatarios en particular es probabilstica, es decir que no es inmediato y depende de
variables como carga en el servidor de correo y trfico en la red.
Otra notable caracterstica del mail es que se pueden adjuntar al mensaje enviado,
documentos de Word, hojas electrnicas Excel, presentaciones Power Point, etc. Es
importante que NO se enven documentos extensos y de gran tamao, ya que esto
degrada todo el sistema.
Dada la gran cantidad de correos entrantes y salientes hacia personas externas al Banco
a travs de este servicio, se establecer el tamao lmite de 250 Kb en cada mensaje
enviado hacia Internet. Si se enva un correo de tamao superior al especificado, el
Administrador de correo enviar un error "No entregable" informndole de que no es
posible enviar el mensaje.
A continuacin algunos puntos que debe considerar para realizar un buen uso de las
herramientas del correo:
El correo electrnico es una herramienta confidencial. Por lo tanto ser atendido

de preferencia solo por el usuario designado. No es adecuado ni tico abrir
correos de otras personas, a menos que estemos expresamente autorizados para
hacerlo.
EDCOM
Pgina # 100
ESPOL

Una medida de seguridad que existe en el mail es aplicar passwords a sus

carpetas personales (archivos .pst). Estos passwords son responsabilidad del
usuario. En caso de olvidarlos, perder su informacin. El Administrador del
Sistema no tiene incidencia en el uso de sus carpetas personales, por ello se
recomienda NO utilizar este tipo de seguridad, salvo criterio personal.
Otra medida de seguridad es bloquear el equipo cuando se retira de este por ms

de cinco minutos. En equipos Windows 2000 puede realizar el bloqueo con las
teclas Ctrl + Alt + Supr. Para los equipos con Windows 95 y 98 utilice
protectores de pantallas con clave de acuerdo a los estndares establecidos.
Las comunicaciones organizacionales, que generalmente se envan a nivel
general sern canalizadas a travs de Recursos Humanos. Se incluyen por
ejemplo mensajes acerca de la excelencia, del comportamiento en general, del
trabajo, de las funciones, etc.
Es recomendable que realice las siguientes acciones para evitar dao de los
archivos de mail:
- Depurar su informacin. Mantener pocos mensajes en las carpetas
Bandeja de Entrada, Elementos Eliminados, Elementos Enviados y
Calendario.
- Una vez que ley un mensaje y considera que no necesita guardarlo,
deber borrarlo inmediatamente.
- Organice sus mensajes creando carpetas.
- En caso de notar problemas con sus archivos de mensajes, contactarse
con Computacin para que realicen una revisin.
- Solicite a Computacin (Help Desk, 1911) que le indiquen la frecuencia
con la que se debe crear un nuevo archivo para mensajes (*.pst) de
acuerdo al volumen de mails que ud. maneja y pdalos de acuerdo a
lo recomendado.
- No enve ni guarde nada que no quiera hacer pblico
Dude de los mensajes que llegan en ingls o de remitentes que usted no conoce.
Es preferible que los borre.
Solo abra mensajes concernientes a su trabajo. Elimine aquellos mensajes que
incluyen imgenes, juegos, etc. Recuerde que muchos virus vienen a travs de
este tipo de mensajes y pueden borrar informacin valiosa de su equipo.
Si Ud. es funcionario, no solicite cuentas de usuarios que realmente no necesita.
En el caso de hacer un reenvo, no incluir informacin sin consentimiento de su
propietario.
Sea precavido en el uso de lenguaje no apropiado en mensajes privados o
pblicos.
Evite el envo de mensajes a todos los usuarios del sistema o grupos de correo,
ya que esto ocasiona trfico en la red y congestionamiento del sistema.
Seleccione a las personas interesadas y que REALMENTE estn involucradas
en el tema.
Enfoque un solo tema por mensaje.
Sea cauteloso de lo que se dice de los dems. Un mensaje de correo
electrnico puede ser reenviado fcilmente.
Respete las cadenas de autoridad cuando establezca correspondencia con sus
superiores.
EDCOM
Pgina # 101
ESPOL

Determine los usuarios para quines su mensaje debe ser ledo; no enve copias
de mensajes a otros usuarios innecesariamente.
Debe tener en cuenta el verdadero uso del correo, el mail no constituye una
herramienta para establecer temas de discusin.
Es importante recalcar que todos los mensajes que se envan son privados; para
el administrador de correos u otro usuario al que no est dirigido el mensaje es
imposible ver el contenido del mismo. Por lo tanto el mensaje perdido se
considera irrecuperable.
Todos los correos enviados / recibidos son controlados y supervisados a travs de

herramientas para este fin. En caso de mal uso de las herramientas de correo, se
proceder a establecer las sanciones respectivas.
5.12.11.7.2.
Navegacin en Internet
La conexin a Internet que posee el Grupo Financiero Banco sirve para muchos
propsitos:
Permitir la conexin con otras entidades

Intercambiar informacin con otras entidades
Investigar sobre mltiples temas de inters
Esta conexin est dada por un canal dedicado de 256 K que proporciona nuestro ISP
(Internet Service Provider) que es la empresa Impsat. A travs de este canal fluye la
informacin resultante de conectarnos a sitios, que recibimos al hacer consultas, bajar
informacin o transferencia de archivos, la conexin de los clientes al servidor
transaccional, etc.
Considere que este canal o acceso a Internet como una herramienta de trabajo que el
banco proporciona, por lo tanto no haga un mal uso de ella.
Siendo prioritario para el Grupo Financiero Banco dar un excelente servicio a los
clientes del Internet Banking, es necesario que se haga un uso moderado de este canal,
tomando las siguientes consideraciones:
EDCOM
En horas laborables, accese a Internet solo cuando sea estrictamente

necesario y por necesidades de informacin para sus funciones en el banco.
Es decir si necesita informacin de entidades como el Banco Central, la
Superintendencia de Bancos, otros entidades financieras, etc.
Pgina # 102
ESPOL

Si usted necesita realizar una investigacin o bajar informacin de inters

particular, puede hacerlo siempre y cuando no sea en horas laborables, es
decir a partir de las 18h00 y solo si se encuentra autorizado.
El Administrador de la red puede interrumpir su conexin si considera que
est haciendo un uso indebido del canal e interfiere con el resto de usuarios
que utilizan este recurso.
Considere que todo acceso a Internet que usted realiza queda registrado, por
lo tanto, en cualquier momento puede generarse un reporte en donde se
indique fecha, hora, el computador, usuario de red y sitio al que acces.
Evite conectarse a sitios indebidos.
La gerencia de Divisin usar este reporte para llamar la atencin a los
usuarios que se conecten a sitios que se consideren indebidos y para crear
una lista de estos sitios con la finalidad de prohibir su acceso.
Mucho software gratuito se encuentra en Internet, siendo uno de los puntos
de mayor vulnerabilidad, el proceso de download puede tener algunos
riesgos, especialmente si no se conoce bien el servidor desde donde se
realice el download. Toda informacin que necesite ser bajada deber ser
coordinada con el Departamento de Computacin. Evite bajar juegos,
bitmaps, archivos gif, jpg, sharewares, etc., o cualquier tipo de archivos que
no correspondan a sus necesidades de informacin de trabajo.
Tenga en cuenta que un programa instalado en cualquier computador que
est conectado a la red, tiene la capacidad de hacer uso de ella. Al
conectarse a Internet, su equipo y por consiguiente la red pueden exponerse
a algn ataque poco probable e inesperado de los denominados hackers o de
los virus que pueden guardarse en los archivos o programas que usted baja
de Internet. An cuando se han implementado herramientas de alta
seguridad y reconocidas en el mercado que minimizan estos riesgos, evite
ser un punto vulnerable para la red del Grupo.
Los sitios a los que ud. accesa por internet son monitoreados y resumidos en informe a
su inmediato superior. En caso de mal uso de esta herramienta, se proceder a
establecer las sanciones respectivas.
EDCOM
Pgina # 103
ESPOL
CAPTULO 6
CONCLUSIONES
Y RECOMENDACIONES

6. CONCLUSIONES Y RECOMENDACIONES
Esta seccin presentar las conclusiones y recomendaciones surgidas durante la
elaboracin de este proyecto. Se presentar las conclusiones generales y posteriormente
se presentarn todas las recomendaciones aplicables al proyecto.
6.1.
CONCLUSIONES
Este proyecto es un esfuerzo para lograr el objetivo de obtener la calidad total en el

servicio de transaccionalidad va web para una institucin bancaria luego de haber
realizado un exhaustivo anlisis del entorno de la Seguridad de la Informacin.
Una de las principales metas de este trabajo es llegar al alcance establecido dentro del
tiempo programado; al finiquitar la investigacin de este proyecto, tenemos la enorme
complacencia de presentar resultados altamente favorables para la implementacin y
mantenimiento del sitio de comercio electrnico de la institucin bancaria de estudio.
El principal indicio se ver manifestado en las estadsticas de seguridad obtenidas luego
de la puesta en produccin del aplicativo.
Creemos viable que se ponga en marcha nuestra propuesta, por lo que es un proyecto
de inversin; es por esto que la rentabilidad se adquiere cuando el sitio empiece a ser
utilizado por los clientes de la entidad financiera y en el mercado las expectativas como
organizacin sern grandes, ya que el sitio ser ms utilizado a medida que aumentan el
nmero de usuarios de la banca virtual.
Finalmente tenemos la seguridad que este proyecto tendr la continuidad y apoyo
necesario de la administracin de la organizacin para un futuro llegar a ser certificado
bajo la norma ISO-27000 y as la institucin tendr un reconocimiento internacional
que es importante en el mundo globalizado actual.
EDCOM
Pgina # 105
ESPOL

6.2.
RECOMENDACIONES
Como recomendaciones se sugiere lo siguiente.

En primer orden recomendamos seguir al pie de la letrea los procedimientos de las
polticas creadas a partir de e anlisis y gestin de riesgos.
Y como acto seguido se recomienda planificar las revisiones constantes de los controles
para la seguridad de la informacin implementados a travs de este proyecto.
Es primordial que nuestro sitio transaccional se afiance a corto, o mximo a mediano
plazo en lo que a calidad transaccional se refiere, lo cual se obtiene con la correcta
gestin de las reas implicadas para el correcto funcionamiento de este servicio;
recordemos que la calidad va asociada a la seguridadMantener reuniones peridicas para la evaluacin de las polticas y actuales
procedimientos de seguridad de la informacin con el objetivo de verificar y actualizar
dichos procedimientos para ir cada vez afinando cada vez mas los detalles de seguridad
tecnolgica; recordemos que la gestin de seguridad de la informacin es un ciclo.
Una vez posicionado nuestro sitio web transaccional de banca virtual las reas
comerciales en conjunto con las reas tecnolgicas de la institucin financiera podrn
implementar ms transacciones al servicio para el uso de los clientes, con lo cual la
imagen de la organizacin tendr alto relieve en el mercado ecuatoriano.
Por ltimo, con el mecanismo que est en auge, de supuestos grupos idelogos
revolucionarios, tales como Anonymus, que en realidad no son ms que piratas
informticos, recomendamos para la institucin contratar un software y hardware de
balanceadores de carga `para evitar la denegacin del servicio.
EDCOM
Pgina # 106
ESPOL
ANEXOS

ESTANDAR DE SEGURIDAD PARA WINDOWS 2003

SERVER
VALIDACIONES DE ESTANDAR
Evelyn Mota Joffre Navarrete
Marcel Len Lafebr

20 abril 2011
Aprobacin Preliminar (Validacin)
Fecha
25 abril
2011
Aprobacin Definitiva
Fecha
ASPECTOS GENERALES
OBJETIVOS
Definir las medidas necesarias para implementar el esquema de seguridad en el
ambiente Windows 2003 Server segn las polticas de Seguridad de la Informacin de
Banco.
MBITO DE APLICACIN
Todos los servidores del entorno de produccin de Banco que utilicen Windows 2003
Server como sistema operativo, ya sea en el caso de Controladores de Dominio,
servidores Miembros del dominio o servidores Stand-Alone.
NORMATIVA
MARCO
REFERENCIA)
(NORMATIVAS
SUPERIOR
DE
PC.POL.1- Poltica General de Seguridad de la Informacin
NORMATIVA DEROGADA
Ninguna.
OTRAS NORMATIVAS ASOCIADAS

Ninguna.
VIGENCIA
Este estndar de configuracin entrar en rigor a partir del 1 de Noviembre de 2007.
EDCOM
Pgina # 108
ESPOL

DISPOSICIONES GENERALES Y TRANSITORIAS

Este estndar de configuracin deber ser revisado anualmente por el rea de
Seguridad de la Informacin de Banco. Los resultados de la revisin, y los cambios que
se sucedan, sern reportados al Comit de Seguridad de la Informacin y comunicados
a los involucrados antes de ser implementados.
La falta de cumplimiento de las definiciones descriptas en el presente procedimiento,
estar sujeta a las sanciones disciplinarias que amerite cada caso.
REA DE SEGURIDAD DE INFORMACIN
Responsable de Seguridad de la Informacin: Tendr a su cargo el mantenimiento
del presente estndar, junto con las tareas de verificacin del cumplimiento del mismo.
GERENCIA DE SISTEMAS
Gerente de Sistemas: Deber garantizar que los funcionarios del rea de sistemas,
encargados de realizar la administracin de la plataforma Windows, implementen los
estndares de configuracin definidos en forma efectiva y oportuna.
Administradores y Operadores de plataforma Windows 2003: Sern encargados de
implementar el presente estndar, siguiendo los lineamientos y tareas mencionadas en
el mismo. Asimismo, debern informar al Gerente de Sistemas sobre las
configuraciones de seguridad que no puedan ser implementadas por restricciones
tcnicas y/o de negocio, las cuales debern quedar adecuadamente documentadas.
EDCOM
Pgina # 109
ESPOL

CONFIGURACIN
DE
SEGURIDAD
HARDWARE DE SERVIDORES
PARA
EL
OBJETIVO
Definir la configuracin de seguridad de los componentes de hardware de los
servidores de Banco que operarn con Windows 2003 como sistema operativo de
base.
ACCESO FSICO A SERVIDORES SENSITIVOS

El acceso fsico a servidores sensitivos como ser los controladores de dominio o los
servidores que soportan la informacin crtica de negocio, deber estar adecuadamente
restringido al responsable de seguridad, al administrador del entorno Windows y a los
operadores de los servidores de Banco.
UBICACIN DE CONTRASEAS PARA CONFIGURACIN

El acceso a la configuracin de hardware de cada servidor deber estar restringido al
responsable de seguridad y al administrador del entorno Windows, mediante una
contrasea especfica y comn para todos los equipos, conocida exclusivamente por
dicho personal y resguardada en sobre cerrado de acuerdo al Procedimiento de
Administracin de Usuarios de Mximos Privilegios.
UTILIZACIN DE CONTRASEAS DE ARRANQUE

Los servidores no debern tener asignada una contrasea de encendido.
En caso de ser necesaria la utilizacin de una contrasea de encendido, deber
consultarse al responsable de seguridad, quien deber formalizar su conformidad
justificando la necesidad de utilizar este mecanismo de proteccin.
ARRANQUE DE SISTEMAS
En la configuracin de hardware de los servidores deber especificarse como nica
unidad de arranque, el disco rgido donde se encuentre instalado el sistema operativo,
impidiendo de esta manera la inicializacin del mismo desde un disquete o CD.
CONEXIONES
PERIFRICOS
DISPOSITIVOS
DE
HARDWARE
Se deber deshabilitar toda conexin a dispositivos que no posean una funcin

especfica definida por el rea de Sistemas, tales como puertos serie, paralelo, USB,
etc.
EDCOM
Pgina # 110
ESPOL
CONEXIONES
PERFERICOS

DISPOSITIVOS
DE
HARDWARE
Se deber establecer una funcin principal por servidor, se deshabilitaran los servicios y
protocolos innecesarios e inseguros que no sean necesarios para la funcin del mismo
CONFIGURACIN GENERAL DE DOMINIOS

OBJETIVO
Presentar la configuracin del esquema lgico y fsico adoptado por Banco para
brindar, proteger y administrar el servicio de directorios Active Directory - Directory
Services y todos los recursos asociados al mismo.
ESTRUCTURA LGICA DE ACTIVE DIRECTORY

ESTRUCTURA DE FOREST Y ESPACIO DE NOMBRES
El servicio de directorios Windows de Banco est estructurado en un nico Forest
conformado por un nico Dominio, con el fin de facilitar la administracin y disminuir
los costos asociados de hardware.
El nico dominio existente (Forest Root Domain) deber responder al nombre .fin.ec
segn se indica en el esquema siguiente:
Figura 9: Estructura Forest
EDCOM
Pgina # 111
ESPOL

INTEGRACIN DE NUEVOS DOMINIOS Y RELACIONES DE

CONFIANZA
Ante la necesidad de incorporacin de nuevas empresas al esquema de dominios de
Banco, para las cuales se defina que adoptarn el carcter de controladas desde el punto
de vista de la administracin de sistemas, y que adems posean dominios propios
preexistentes, se evaluar la posibilidad de migrar los servidores al dominio .fin.ec
como uno o mas sitios nuevos.
En caso de no ser posible la migracin mencionada y de ser necesario mantener el
dominio de dicha empresa, el mismo se integrar al Forest mediante el establecimiento
de una relacin de confianza external unidireccional con el dominio .fin.ec siempre
que sea posible.
Tanto el establecimiento de nuevas relaciones de confianza con dominios de otras
empresas y/o sitios, como las modificaciones al esquema de Active Directory
(Schema), debern ser debidamente analizadas y autorizadas por el Responsable de
Seguridad.
Todas las tareas de anlisis y aprobacin debern ser formalizadas e impulsarn la
actualizacin del presente estndar de configuracin siempre que sea necesario.
ESTRUCTURA DE UNIDADES ORGANIZATIVAS OUs

El esquema de unidades organizativas de Banco para el dominio .fin.ec, responde a la
estructura real de unidades de negocio ya que dicho modelo se adecua mejor a las
necesidades administrativas y de aplicacin de polticas de grupos de Banco.
Dicho esquema se encuentra dividido en cuatro niveles bien definidos, el primero de
los cuales contendr cuatro Unidades Organizativas (OUs) bsicas a saber:
Una OU general denominada creada a los efectos de contener los objetos
lgicos que representan a las reas de negocio p.e: usuarios, estaciones de
trabajo, impresoras, etc. Esto se realiza fundamentalmente por una cuestin
organizativa, a los efectos de obtener una consola administrativa con una
estructura raz que no sea demasiado extensa;
Una OU para alojar a los controladores de dominio llamada Domain
Controllers;
EDCOM
Pgina # 112
ESPOL

Una OU denominada Member Servers, la cual ser utilizada para agrupar a

todos los servidores Windows 2000 miembros del dominio, la cual a su vez
contendr OUs de menor jerarqua que respondern a los distintos roles que
cumplen los servidores.
Una OU denominada Member Servers 2003, la cual ser utilizada para
agrupar a todos los servidores Windows 2003 miembros del dominio, la cual a
su vez contendr OUs de menor jerarqua que respondern a los distintos roles
que cumplen los servidores.
Asimismo, en el segundo nivel de la OU se encontrarn las unidades organizativas que
representan a cada rea de negocio, las cuales en su tercer nivel podrn contener
subdivisiones representando a cada sector del rea o finalmente los objetos que
representan a las mismas segn se indica en el diagrama siguiente:
EDCOM
Pgina # 113
ESPOL

Figura 10: Estructura de unidades organizativas
EDCOM
Pgina # 114
ESPOL

DEFINICIN DE OBJETOS DEL SERVICIO

DIRECTORIOS Y ASIGNACIN DE PERMISOS
DE
Las cuentas de usuarios, grupos, equipos e impresoras sern definidas en el dominio

.fin.ec e incluidas en la unidad organizativa del sitio al que correspondan.
La asignacin de permisos de acceso a usuarios finales en produccin, se har a travs
de la inclusin de dichos usuarios a grupos globales y de la asignacin de grupos
globales a grupos locales sobre los cuales se aplicarn los permisos efectivos. El
esquema operativo asociado se presenta en el diagrama siguiente:
Figura 3: Objetos del servicio de directorios y asignacin de permisos
ESTRUCTURA FSICA DE ACTIVE DIRECTORY

La topologa de sitios de Active Directory es la representacin lgica de la red fsica y
es diseada primariamente para controlar los siguientes aspectos:
Trfico de replicacin: Cuando un cambio ocurre en Active Directory, los sitios son
usados para controlar cmo y cuando el cambio es replicado a un controlador de
dominio en otro sitio.
Autenticacin del usuario: Cuando un usuario se autentica, Windows 2003 busca en
primera instancia un controlador de dominio que este en el mismo sitio en donde esta la
estacin de trabajo del usuario.
EDCOM
Pgina # 115
ESPOL

File Replication Service (FRS): FRS es un servicio usado para replicar el contenido del
directorio SYSVOL, el cual incluye scripts de logon y logoff, Group Policy settings y
polticas del sistema para clientes W9x y WNT. FRS usa la topologa de sitios para
determinar la topologa de replicacin.
Distributed File System (DFS): Cuando una carpeta compartida tiene mltiples
localizaciones, un usuario ser direccionado a un servidor en su propio sitio, si existe,
reduciendo el trfico a travs de los vnculos.
OTRAS APLICACIONES ACTIVE DIRECTORY AWARE

ESTRUCTURA DE SITIOS Y LINKS
Sitios (Sites): Se entiende por Site a todo conjunto de subredes conectadas a alta
velocidad (10Mbps o ms) que cuentan al menos con un Controlador de Dominio. De
acuerdo con ello, la estructura de Sites de Banco se definir teniendo en cuenta la
distribucin geogrfica del equipamiento y la cantidad de clientes que hacen uso de los
servicios desde dichas locaciones.
Vnculos entre sitios (Site Links): Los Site Links se utilizan para unir dos Sites, y
de este modo, configurar la replicacin ptima entre los mismos. La definicin y
creacin de Site Links responder al esquema de Sites existentes.
A continuacin se presenta un diagrama que esquematiza la situacin actual:
EDCOM
Pgina # 116
ESPOL

Figura 4: Esquema de Sitios de Active Directory
PRINCIPALES SERVICIOS DE INFRAESTRUCTURA (CORE

SERVICE)
Se define como Core Services a los servicios de infraestructura principales que hacen
a la arquitectura de Windows 2003 y Active Directory. Entre estos servicios se
encuentran: WINS y DNS, como as tambin servicios intrnsecos a Active Directory
como los Flexible Single Master Roles, en adelante FSMO Roles, y como se localizan
y se distribuyen los Controladores de Dominio.
UBICACIN DE CONTROLES DE DOMINIO Y CATLOGOS

GLOBALES
Para la determinacin de la ubicacin y cantidad de Controladores de Dominio
requeridos para asegurar la operatividad del servicio de autenticacin y autorizacin, se
debern seguir las siguientes directivas:
Un controlador para el dominio .fin.ec en el sitio central, para centralizar los servicios
de autenticacin y autorizacin de usuarios. Dicho controlador de dominio deber
cumplir los siguientes roles:
EDCOM
Pgina # 117
ESPOL

Schema Master
Domain Naming Master
PDC Emulator
RID Master
Infraestructure Master
Global Catalog
Un controlador para el dominio .fin.ec en el sitio central, para redundancia, el cual

deber cumplir el rol de Global Catalog
Un controlador de dominio por cada locacin fsica con ms de 50 usuarios, a fin de
agilizar el inicio de sesin de los usuarios. Dichos controladores de dominio deberan a
su vez cumplir el rol de Global Catalog en aquellos sitios que cuenten con ms de
100 usuarios activos.
Adicionalmente siempre deber tenerse en consideracin el ancho de banda del vnculo
de comunicaciones y la cantidad de usuarios, para asegurar que la replicacin del
esquema Active Directory genera menos trfico en la red de datos que los pedidos de
autenticacin de los usuarios remotos.
DNS (DOMAIN NAME SYSTEM)

En el mbito operativo de la Entidad se pueden diferenciar dos entornos diferentes de
DNS:
DNS en ambiente cerrado: Son aquellos servidores de DNS que soportan a los
dominios internos de Windows 2003 de Banco y que prestan servicio a clientes
del dominio para la localizacin de los controladores de dominio, resolver
nombres y registrar dinmicamente su nombre de estacin de trabajo en la red.
DNS con presencia en Internet: No se utilizarn servidores DNS con presencia
en Internet para la resolucin de nombres externos. En su reemplazo, se
utilizarn zonas de Forward Lookup, a travs de las cuales se referenciar a los
DNS del proveedor para resolver los nombres de dominios externos.
DNS (DOMAIN NAME SYSTEM) EN AMBIENTE CERRADO

El servicio de DNS interno de Windows 2003 Server para el dominio .fin.ec, ser
configurado como zona Active Directory integrated y para que acepte registraciones va
EDCOM
Pgina # 118
ESPOL

Secure Updates. De esta forma las zonas de informacin sern guardadas, replicadas
y aseguradas en el esquema Active Directory y permitir que el servicio de DNS est
disponible a pesar de que exista algn problema en los vnculos de comunicaciones.
ACTUALIZACIONES DINMICAS
Las actualizaciones dinmicas de registros habilitan a los clientes de DNS a registrar su
nombre y direccin IP en forma automtica, al iniciar el equipo o cuando la direccin
IP cambia. Las actualizaciones dinmicas estarn habilitadas nicamente (de forma
segura), en aquellos servidores en los que las zonas sean Active Directory integrated.
TRANSFERENCIA DE ZONAS
Dado que la transferencia de zonas permite mover todos los registros de una zona
DNS particular entre servidores, las zonas de Forward Lookup y Reverse Lookup de
los dominios deben configurarse para que estas transferencias se efecten solamente a
servidores autorizados, entre los cuales se debern encontrar solamente los
controladores de dominio de Banco .En caso de ser necesaria la transferencia de zona
en servidores de DNS instalados como Stand-Alone, se deber analizar cada caso en
particular previo a especificar las direcciones IP de dichos servidores en la lista de
servidores habilitados.
CONFIGURACIN DE CLIENTES
Los clientes sern configurados manualmente, de manera que registren y utilicen los
servicios de los DNS designados.
SERVIDORES DNS INTERNOS

Los servidores de DNS sern configurados para que su DNS Primario sean ellos
mismos y como regla general se ubicar un DNS en cada controlador de dominio, de
manera de contar con resolucin de nombres en el caso de corte de comunicaciones
entre los sitios secundarios y el sitio central.
Los servidores con servicio DNS son los siguientes:
DOMBBSRV: Direccin IP: 172.17.2.55 (Controlador de Dominio primario de
Casa Matriz)
DOMBBWINSRV: Direccin IP: 172.17.2.10 (Controlador de Dominio
secundario de Casa Matriz)
Asimismo, las zonas de DNS existentes para Active Directory son:
EDCOM
Pgina # 119
ESPOL

bce.fin.ec
bkuxprod
.com
.corp
.fin.ec
creditreport.ec
des. .corp
ecuagiros.com
faxmaker.com
WINS WINDOWS INTERNET NAMING SERVICE

Actualmente existe un modelo de resolucin de nombres basado principalmente en
DNS y apoyado sobre WINS como mtodo secundario, el cual se deber conservar
hasta tanto no existan clientes pre-Windows 2000 los cuales requieran resolucin
NETBIOS.
La estructura de WINS se encontrar centralizada en Casa Matriz y de ser necesario se
deber evaluar la instalacin de un servicio WINS por sitio, a fin de proporcionar
resolucin de nombres NetBIOS en el caso de corte de comunicaciones.
Al igual que en el caso del servicio DNS, los clientes sern configurados manualmente.
ESQUEMA DE SEGURIDAD EN ACTIVE DIRECTORY

OBJETIVO
Presentar el esquema de seguridad asociado al servicio de directorios Active Directory
Directory Services y los mecanismos utilizados para implementar el mismo.
POLITCAS DE GRUPO (GPO)

A fin de agilizar las tareas de administracin de la seguridad y para garantizar que todos
los objetos que forman parte del servicio de directorios Windows de Banco cumplan
con los lineamientos de seguridad definidos, Banco utiliza polticas de grupo o GPOs.
As mismo, la utilizacin de GPOs extiende el concepto de las antiguas System
Policies de NT y brinda las siguientes funcionalidades:
Implementacin de configuraciones de seguridad, derechos de usuarios y
polticas de auditora.
Administracin del ambiente de servidores y estaciones de trabajo.
EDCOM
Pgina # 120
ESPOL

Distribucin y configuracin de aplicaciones.

Procesamiento de scripts de autenticacin como ser "Logon / Logoff / Start-up /
Shutdown".
Redireccionamiento de carpetas y utilizacin de carpetas fuera de lnea, entre

otros.
Los parmetros de configuracin que se definen en las polticas de grupo de Windows
2003 son utilizados para controlar los elementos de los entornos de clientes y
servidores Windows 2000/2003/XP y pueden ser creados para utilizarse en los distintos
niveles del diseo de unidades organizativas, brindando de esta manera flexibilidad y
granularidad para implementar configuraciones y polticas de seguridad de acuerdo al
esquema jerrquico que se describe en el grfico siguiente:
EDCOM
Pgina # 121
ESPOL

Figura 5: Esquema de Seguridad en Active Directory
Figura 5: GPO
Actualmente el esquema de las principales polticas de grupo de Banco, las cuales

establecen los lineamientos bsicos de seguridad, est compuesto por las siguientes
polticas de seguridad, estas son:
Poltica general para el dominio.

Poltica para controladores de dominio.
Poltica para servidores miembro y stand alone Windows 2003.
Poltica para servidores miembro y stand alone Windows 2000.
Poltica de usuarios del dominio.
Poltica de estaciones de trabajo windows 2000/XP.
Polticas de replicacin del servicio WSUS (aplicadas a nivel de Site).
Nota: Cabe destacar que en la prctica tambin se podrn aplicar polticas para casos
particulares (tales como bloqueo de puertos USB, polticas de distribucin de software,
etc) a nivel de las unidades organizativas de tercer o cuarto nivel, siempre que las
mismas sean ms restrictivas que las polticas de los niveles superiores.
EDCOM
Pgina # 122
ESPOL

Figura 6: Diseo de Polticas de Grupo

Complementariamente, cabe sealar que cada grupo de servidores miembro que
compartan un rol (Por ejemplo servidores web IIS, servidores de bases de datos SQL,
EDCOM
Pgina # 123
ESPOL

etc), tendrn a su vez sus caractersticas especficas de configuracin y en consecuencia

sus polticas de grupo asociadas. Dichas polticas debern ser aplicadas a nivel de la
OU correspondiente y los valores de configuracin especficos debern respetar los
estndares de configuracin de las plataformas involucradas.
Finalmente, para los casos en los que los servidores sean Stand-Alone, la aplicacin de
las polticas de configuracin deber ser efectuada en forma local, segn los
lineamientos establecidos en el presente estndar de seguridad y/o en los estndares
asociados al rol especfico del servidor.
POLTICAS DE CUENTAS
A travs de la correcta configuracin y aplicacin de las polticas de cuentas se podrn
implementar las directivas de seguridad definidas por Banco para las contraseas
utilizadas por los usuarios.
DIRECTIVAS DE CUENTAS- POLTICAS DE CONTRASEAS
Directiva
Poltica
Dominio
de Poltica
DC
de
Servidores
Miembro y
Stand-Alone
Enforce
history
password Not Defined
3 passwords
3 passwords
Maximum
age
90 days
90 days
Minimum
age
1 days
1 days
Minimum
length
8 characters
8 characters
Passwords must meet Not Defined

complexity
requirements
Enabled
Enabled
Store password using Not Defined

reversible encryption
for all users in the
domain
Disabled
Disabled
Tabla 0-12: Polticas de Contraseas

EDCOM
Pgina # 124
ESPOL

DIRECTIVAS DE CUENTAS POLTICAS DE BLOQUEO DE

CUENTAS
Poltica
Directiva
Servidores
de
Poltica de DC
Dominio
Account lockout duration
Miembro
Stand-Alone
Not Defined
0 minutes
0 minutes
Para Stand-Alone:
Not Applicable
Account lockout threshold
Not Defined
invalid
login 3
attempts
invalid
login
attempts
Para Stand-Alone:
0
invalid
login
attempts
Reset account lockout counter Not Defined
30 minutes
30 minutes
after
Para Stand-Alone:
0 minutes
Tabla 0-13: Polticas de Bloqueo de Cuentas
DIRECTIVAS DE CUENTAS POLTICAS DE KERBEROS

Poltica
Directiva
Enforce
Dominio
user
de
Servidores
Poltica de DC
Miembro
Stand-Alone
logon Not Defined
Not Defined
Not Defined
for Not Defined
Not Defined
Not Defined
Maximum lifetime for user Not Defined
Not Defined
Not Defined
Not Defined
Not Defined
Not Defined
Not Defined
restrictions
Maximum
lifetime
service ticket
ticket
Maximum lifetime for user Not Defined
ticket renewal
Maximum tolerance for Not Defined

computer
clock
synchronization
Tabla 0-14: Polticas de Kerberos

EDCOM
Pgina # 125
ESPOL

AUDITORIA DE EVENTOS Y OBJETOS

Se debern configurar los parmetros de auditora a nivel de sistema operativo, de
acuerdo a lo establecido en el Estndar de configuracin de clientes para el registro de
LOGs de Banco.
DERECHOS DE USUARIOS
La posibilidad de definir los derechos de los usuarios en el sistema es un gran aporte a
la seguridad del esquema Active Directory. Los valores definidos por Banco para
implementar en servidores se detallan a continuacin:
Poltica
Directiva
Access
de
Dominio
this Not Defined
Poltica de DC
Servidores Miembro y
Stand-Alone
- Administrators
Se
debe
analizar
computer from the
- Administradores
documentar
en
un
network
- IDS
anexo la configuracin
- Enterprise Domain Controllers
en funcin de cada rol.
- Enterprise Admins
Administrators
Authenticated Users
Backup Operators
Power Users
Cuando se trate de un
servidor con IIS 6.0.
ASPNET
Iusr_Mquina
Iwam_Mquina
servidor con IIS 5.0 y
6.0.
Users
Act as part of the Not Defined
- No one
- No one
1Add workstations Not Defined
- Administrators
- No one
to domain (P)
- Administradores
operating system
- IDS
- Server operators
EDCOM
Pgina # 126
ESPOL
Adjust

memory Not Defined
quotas for a process
- Administrators
- Administrators
- LOCAL SERVICE
- LOCAL SERVICE
- NETWORK SERVICE
NETWORK
SERVICE
- Iwam_mquina
Allow
logon
on Not Defined
locally
- Administrators
- Administrators
- Administradores
- Power Users
- IDS
- Backup Opertors
- operador
- IUSR_Mquina
2Allow
logon Not Defined
- Administrators
- Administrators
3Back up files and Not Defined
-Administrators
- Administrators
directories (P)
- Backup Operators
- Backup Operators
Bypass
- Administrators
- Administrators
- Authenticated Users
- Backup Operators
Through Terminal
Services (P)
traverse Not Defined
checking
- Power Users
- Authenticated Users
- IIS_WPG
4Change
the Not Defined
- Administrators
- Administrators
system time(P)
- Local Service
- Local Service
5Create a pagefile Not Defined
- Administrators
- Administrators
token Not Defined
- No one
- No one
global Not Defined
- Administrators
- Administrators
objects (P)
- SERVICE
- SERVICE
8Create permanent Not Defined
- No one
- No one
(P)
6Create
object (P)
7Create
EDCOM
Pgina # 127
ESPOL

shared objects (P)

9Debug
programs Not Defined
- Administrators
- Administrators
- SUPPORT_388945a0
- SUPPORT_388945a0
11Deny logon as a Not Defined
- Guests
- Guests
batch job (P)
- Support_388945a0
- Support_388945a0
- No one
- No one
(P)
10Deny access to Not Defined
this computer from
the network (P)
* En la plantilla:
AseguramientoBas
e Plus sin Disco
w2k3-v10-IIS
solamente
se
incluya
Support_388945a0
12Deny logon as a Not Defined
service (P)
13Deny
logon - user_service - SUPPORT_388945a0
locally(P)
- SUPPORT_388945a0
- Se pueden adicionar
ms
usuarios
que
puedan definirse.
- ASPNET
14Deny
log
on Not Defined
- Guests
- Guests
Through Terminal
- Se pueden adicionar
Services(P)
ms
usuarios
que
puedan definirse.
15Enable computer Not Defined
- Administrators
- nadie
- Administrators
- Administrators
and user accounts

to be trusted for
delegation(P)
16Force shutdown Not Defined
from
remote
system(P)
EDCOM
Pgina # 128
ESPOL

17Generate
Not Defined
security audits(P)
Impersonate
client
a Not Defined
after
- Local Service
- Local Service
- Network Service
- Network Service
- Administrators
- Administrators
- SERVICE
- SERVICE
authentication
- ASPNET
- IIS_WPG
18Increase
Not Defined
- Administrators
- Administrators
19Load and unload Not Defined
- Administrators
- Administrators
- No one
- No one
scheduling
priority(P)
device drivers(P)
20Lock pages in Not Defined
memory(P)
* En la plantilla
AseguramientoBas
e Plus sin Disco
w2k3-v10SQL2000
se
encuentra con Not

Defined debe ser
revisado
por
Servidor.
Log on as a batch Not Defined
Se debe analizar y documentar Se
job
en un anexo la configuracin en documentar

funcin de cada rol.
debe
analizar
en
un
Local Service
ASPNET
IIS_WPG
Iusr_maquina
Iwam_maquina
EDCOM
Pgina # 129
ESPOL
Log on as a service

Not Defined
Se debe analizar y documentar Se
debe
analizar
en
un
en un anexo la configuracin en documentar

funcin de cada rol.
Network Service
- ASPNET
21Manage auditing Not Defined
- Administrators
- Administrators
and security log (P)
- Administradores
- Administradores
- IDS
- IDS
- Administrators
- Administrators
- Administrators
- Administrators
single Not Defined
- Administrators
- Administrators
system Not Defined
- Administrators
- Administrators
- Administrators
- No one
Replace a process Not Defined
- Local Service
- Local Service
level token
- Network Service
- Network Service
22Modify firmware Not Defined

environment values
(P)
23Perform Volume Not Defined
Maintenance Tasks
(P)
24Profile
process (P)
25Profile
performance (P)
26Remove
Not Defined
computer
from
docking station (P)
servidor con IIS 6.0:
-Iwam_maquina
27Restore files and Not Defined
- Administrators
- Administrators
- Administrators
- Administrators
- No one
- No one
directories (P)
28Shut down the Not Defined
system (P)
29Synchronize
directory
Not Defined
service
data (P)
EDCOM
Pgina # 130
ESPOL

30Take ownership Not Defined
- Administrators
- Administrators
of files or other
objects (P)
Tabla 0-15: Derechos de Usuarios
EDCOM
Pgina # 131
ESPOL

CUENTAS DE SERVICIO
ESPECIALES
ASIGNADOS
En aquellos servidores que presenten aplicaciones que requieran el uso de cuentas de

servicio, se deber adems otorgar derechos adicionales a dichas cuentas en funcin del
servicio instalado.
Los casos ms relevantes se detallan en la siguiente tabla:
Servicio/Aplicacin
Grupo de cuentas
Derechos especiales
SQL Server
ADMIN_SQL
log on as a service
act as a part of the operating system
replace process level token
Adjust memory quotas for a process
logon as a batch job
Exchange Server
ADMIN_EXC
log on as a service
Back up files and directories
Servicios de Backup
ADMIN_BKP
Act as part of the operating system

Back up files and directories
Restore files and directories
Internet
Services
Information
ADMIN_IIS
Access this computer from network

Logon localy
Tabla 0-16: Polticas de Bloqueo de Cuentas
Nota: El otorgamiento de derechos a nuevas aplicaciones o servicios deber ser

analizado y aprobado por el Responsable de Seguridad de Banco.
EDCOM
Pgina # 132
ESPOL

OPCIONES DE SEGURIDAD
Las opciones de seguridad que debern aplicarse a los servidores principales de la
entidad se detallan a continuacin:
Directiva
Poltica
Dominio
de
Poltica de DC
Servidores
Miembro
y
Stand-Alone
1Accounts:
Administrator Not Defined
account status(P)
Enabled
Enabled
Para
standalone:
Not
Applicable
2Accounts: Guest account Not Defined

status(P)
Disabled
Disabled
Para
standalone:
Not
Applicable
3Accounts:
Limit
local Not Defined
account use of blank
passwords to console logon
only (P)
Enabled
Enabled
Accounts:
Rename Not Defined
administrator account
XXXXXX
Not Defined
4Accounts: Rename guest Not defined

account(P)
xxxxxx
Not Defined
5Audit: Audit the access of Not Defined

global system objects(P)
Disabled
Disabled
6Audit: Audit the use of Not Defined

Backup
and
Restore
privilege(P)
Disabled
Disabled
7Audit: Shut down system Disabled

immediately if unable to log
security audits(P)
Disabled
Disabled
8DCOM: Machine Access Not Defined

Restrictions in Security
Descriptor
Definition
Language (SDDL) syntax(P)
Not Defined
Not Defined
EDCOM
Pgina # 133
ESPOL

Poltica de DC
Servidores
Miembro
y
Stand-Alone
9DCOM: Machine Launch Not Defined

Restrictions in Security
Descriptor
Definition
Language (SDDL) syntax(P)
Not Defined
Not Defined
10Devices: Allow undock Not Defined

without having to log on (P)
Enabled
Enabled
11Devices:
Allowed
to Not Defined
format and eject removable
media (P)
Administrators
Power Users
Administrator
s
12Devices: Prevent users Disabled

from installing printer drivers
(P)
Enabled
Enabled
13Devices: Restrict CD- Not Defined

ROM access to locally
logged-on user only (P)
Enabled
Enabled
14Devices: Restrict floppy Not Defined

access to locally logged-on
user only (P)
Enabled
Enabled
Directiva
Poltica
Dominio
de
15Devices: Unsigned driver Warn but allow Warn but allow Warn
but
installation behavior (P)
installation
installation
allow
installation
16DC:
Allow
server Not Defined
operators to schedule tasks
(P)
Disabled
Not Defined
17DC: LDAP server signing Not Defined

requirements (P)
Not Defined
Not Defined
18DC:
Refuse
machine Not Defined
account password changes
(P)
Disabled
Disabled
20Domain member: Digitally Not Defined

encrypt or sign secure
channel data (always)
Disabled
Enabled

encrypt secure channel data
Enabled
Enabled
EDCOM
Pgina # 134
ESPOL

Poltica de DC
Servidores
Miembro
y
Stand-Alone

sign secure channel data
(when possible) (P)
Enabled
Enabled
19Domain member: Disable Not Defined

machine account password
changes (P)
Disabled
Disabled
23Domain
member: Not Defined
Maximum machine account
password age (P)
Not Defined
Not Defined
Para
stand
alone: 0
24Domain member: Require Not Defined

strong (Windows 2000 or
later) session key (P)
Not Defined
Not Defined
25Interactive logon: Display Not Defined

user information when the
session is locked (P)
Not Defined
Not Defined
26Interactive logon: Do not Enabled

display last user name (P)
Enabled
Enabled
27Interactive logon: Do not Disabled

require
CTRL+ALT+DEL
(P)
Disabled
Disabled
29Interactive logon: Message El uso de este

text for users attempting to sistema
est
log on (P)
restringido
solamente
a
personal
autorizado. Todo
otro uso del
mismo
ser
penado
de
acuerdo a las
polticas vigentes
de la Entidad.
Ante cualquier
El uso de este
sistema
est
restringido
solamente
a
personal
autorizado. Todo
otro uso del
mismo
ser
penado
de
acuerdo a las
polticas vigentes
de la Entidad.
Ante cualquier
El uso de este
sistema est
restringido
solamente a
personal
autorizado.
Todo otro uso
del
mismo
ser penado
de acuerdo a
las polticas
vigentes de la
Entidad. Ante
Directiva
Poltica
Dominio
de
(when possible) (P)
EDCOM
Pgina # 135
ESPOL
Directiva

Poltica
Dominio
de
inconveniente
comunicarse con
Seguridad
Informtica.
Muchas gracias
Poltica de DC
inconveniente
comunicarse con
Seguridad
Informtica.
Muchas gracias
Servidores
Miembro
y
Stand-Alone
cualquier
inconveniente
comunicarse
con Seguridad
Informtica.
Muchas
gracias
30Interactive logon: Message ADVERTENCIA ADVERTENCIA ADVERTEN

title for users attempting to
CIA
log on (P)
31 Interactive logon: Number 3 logons
of previous logons to
cache(in
case
domain
controller is not available (P)
Not Defined
2 logons
Para
Stand
Alone:0
28Interactive logon: Prompt 7 das

user to change password
before expiration (P)
7 das
7 das
32Interactive logon: Require Not Defined

Domain
Controller
authentication to unlock
workstation (P)
Enabled
Enabled
33Interactive logon: Require Not Defined

smart card (P)
Not Defined
Not Defined
34Interactive logon: Smart Not Defined

card removal behavior (P)
Not Defined
Not Defined
36Microsoft network client: Not Defined

Digitally
sign
communications (always) (P)
Disabled
Disabled

Digitally
sign
communications (if server
agrees) (P)
Enabled
Enabled

Send unencrypted password
Disabled
Disabled
EDCOM
Pgina # 136
ESPOL

Poltica de DC
Servidores
Miembro
y
Stand-Alone
38Microsoft network server: Not Defined

Amount of idle time required
before suspending session
(P)
15 minutos
15 minutos

Digitally
sign
communications
(always)
(P)
Disabled
Disabled

Digitally
sign
communications (if client
agrees) (P)
Enabled
Enabled

Disconnect clients when
logon hours expire (P)
Disabled
Enabled
42Network access: Allow Disabled

anonymous
SID/Name
translation (P)
Enabled
Disabled
43Network access: Do not Not Defined

allow
anonymous
enumeration
of
SAM
accounts (P)
Enabled
Enabled

allow
anonymous
enumeration
of
SAM
accounts and shares (P)
Enabled
Enabled

allow storage of credentials
or .NET Passports for
network authentication (P)
Enabled
Enabled
46Network
Disabled
Disabled
Poltica
Dominio
Directiva
de
to third-party SMB servers

(P)
EDCOM
access:
Let Not Defined

Pgina # 137
ESPOL

Poltica de DC
Servidores
Miembro
y
Stand-Alone
47Network access: Named Not Defined

Pipes that can be accessed
anonymously (P)
Not Defined
vacio
48Network access: Remotely Not Defined

accessible registry paths (P)
System\CurrentC
ontrolSet\Control
\ProductOptions
System\CurrentC
ontrolSet\Control
\Server
Applications
Software\Micros
oft\Windows
NT\CurrentVersi
on
System\Curre
ntControlSet\
Control\Produ
ctOptions
System\Curre
ntControlSet\
Control\Serve
r Applications
Software\Mic
rosoft\Windo
ws
NT\CurrentVe
rsion
49Network access: Remotely Not Defined

accessible registry paths and
subpaths (P)
System\CurrentC
ontrolSet\Control
\Print\Printers
System\CurrentC
ontrolSet\Service
s\Eventlog
Software\Micros
oft\OLAP Server
Software\Micros
oft\Windows
NT\CurrentVersi
on\Print
Software\Micros
oft\Windows
NT\CurrentVersi
System\Curre
ntControlSet\
Control\Print\
Printers
System\Curre
ntControlSet\
Services\Even
tlog
Software\Mic
rosoft\OLAP
Server
Software\Mic
rosoft\Windo
ws
NT\CurrentVe
Directiva
Poltica
Dominio
de
Everyone permissions apply

to anonymous users
EDCOM
Pgina # 138
ESPOL
Directiva

Poltica
Dominio
de
Poltica de DC
on\Windows
System\CurrentC
ontrolSet\Control
\ContentIndex
System\CurrentC
ontrolSet\Control
\Terminal Server
System\CurrentC
ontrolSet\Control
\Terminal
Server\UserConfi
g
System\CurrentC
ontrolSet\Control
\Terminal
Server\DefaultUs
erConfiguration
Software\Micros
oft\Windows
NT\CurrentVersi
on\Perflib
System\CurrentC
ontrolSet\Service
s\SysmonLog
EDCOM
Pgina # 139
Servidores
Miembro
y
Stand-Alone
rsion\Print
Software\Mic
rosoft\Windo
ws
NT\CurrentVe
rsion\Window
s
System\Curre
ntControlSet\
Control\Conte
ntIndex
System\Curre
ntControlSet\
Control\Termi
nal Server
System\Curre
ntControlSet\
Control\Termi
nal
Server\UserC
onfig
System\Curre
ntControlSet\
Control\Termi
nal
Server\Defaul
tUserConfigu
ration
Software\Mic
rosoft\Windo
ws
NT\CurrentVe
rsion\Perflib
System\Curre
ESPOL
Directiva

Poltica
Dominio
de
Poltica de DC
Servidores
Miembro
y
Stand-Alone
ntControlSet\
Services\Sys
monLog
50Network access: Restrict Not Defined

anonymous access to Named
Pipes and Shares (P)
Enabled
Enabled
51Network access: Shares Not Defined

that
can
be
accessed
anonymously (P)
Not Defined
Not Defined
Ninguno
.
52Network access: Sharing Not Defined

and security model for local
accounts (P)
Classic - Local
users
authenticate as
themselves
Classic
Local users
authenticate
as themselves
53Network security: Do not Not Defined

store LAN Manager hash
value on next password
change (P)
Disabled
Disabled1
54Network security: Force Not Defined

logoff when logon hours
expire (P)
Not Defined
Enabled
55Network security: LAN Not Defined

Manager authentication level
(P)
Send
NTLM Send NTLM
Response only
Response
only
56Network security: LDAP Not Defined

client signing requirements
(P)
Negotiate
Signing
Negotiate
Signing
57Network
security: Not Defined
Minimum session security
for NTLM SSP based
(including secure RPC)
clients (P)
Not Defined
No
Requirements
EDCOM
Pgina # 140
ESPOL

Poltica
Dominio
Directiva
de
Poltica de DC
Servidores
Miembro
y
Stand-Alone
58Network
security: Not Defined
Minimum session security
for NTLM SSP based
(including secure RPC)
servers (P)
Not Defined
No
Requirements
59Recovery console: Allow Not Defined

automatic
administrative
logon (P)
Disabled
Disabled
60Recovery console: Allow Not Defined

floppy copy and access to all
drives and all folders (P)
Disabled
...................................................
61Shutdown: Allow system Not Defined

to be shut down without
having to log on (P)
Disabled
Disabled
62Shutdown: Clear virtual Not Defined

memory pagefile (P)
Disabled
Disabled
63System
cryptography: Not Defined
Force strong key protection
for user keys stored on the
computer (P)
User is prompted User

is
when the key is prompted
first used
when the key
is first used
64System cryptography: Use Not Defined

FIPS compliant algorithms
for encryption, hashing, and
signing (P)
Not Defined
Disabled
65System objects: Default Not Defined

owner for objects created by
members
of
the
Administrators group (P)
Object Creator
Object
Creator
66System objects: Require Not Defined

case insensitivity for nonWindows subsystems (P)
Enabled
Enabled
67System
Strengthen
permissions
Enabled
Enabled
EDCOM
of
objects: Not Defined

default
internal
Pgina # 141
...................................................
ESPOL

Poltica de DC
Servidores
Miembro
y
Stand-Alone
68System settings: Optional Not Defined

subsystems (P)
No one
No one
System
settings:
Use Not Defined
Certificate
Rules
on
Windows Executables for
Software Restriction Policies
(P)
Not Defined
Disabled
Poltica
Dominio
Directiva
system
objects
Symbolic Links) (P)
de
(e.g.
Tabla 0-17: Opciones de Seguridad

Existen Derechos de Usuarios y Opciones de Seguridad que se encuentran
implementados en Plantillas de Polticas creadas en el GPO del Active Directory.
Las Plantillas de Polticas se encuentran aplicadas sobre OUs creadas deacuerdo al rol
que tienen los servidores y sitio al que pertenezcan, por lo tanto cuando se incluya un
nuevo equipo es necesario identificar el nivel de la OU al que pertenece para que pueda
tener una correcta aplicacin de la plantilla de poltica de aseguramiento.
Las plantillas de polticas existentes para Controladores de Dominio y Servidores
Miembro con su respectiva Ruta son las siguientes:
Controladores
de Dominio
Ruta
Servidores
Miembros
Ruta
Aseguramiento
Domain
Controllers
.fin.ec/Domai Aseguramiento
.fin.ec/Servidores/Servidore
n Controllers
Base Plus sin Disco s
Produccin/Servidores
w2k3-v10
Windows 2003/Servidores
de Aplicaciones/Aplicativos
s
de
Aplicaciones/Aplicativos/Qu
ito
EDCOM
Pgina # 142
ESPOL

s
de Aplicaciones/File Server
s
de
Aplicaciones/File
Server/Quito
s
de Base de Datos/SQL 2005
s
s
Especiales
Aseguramiento
w2k3-v10Windows 2003/Servidores
exchange
de Pginas/Exchange 2003
Server
Aseguramiento
w2k3-v10-IIS
de Pginas/Servicios Web
Aseguramiento
w2k3-v10-MSQ
de
Aplicaciones/Message
Queuing
Aseguramiento
w2k3-v10Windows 2003/Servidores
EDCOM
Pgina # 143
ESPOL

SQL2000
Tabla 0-18: Controladores de Dominio
Nota: En el cuadro de Derechos de usuarios y Opciones de seguridad existe una (P)

que indica las opciones que estn implementadas en las plantillas de polticas para
Servidores Miembros de Windows 2003. Con respecto a la plantilla de poltica de
Controladores de Dominio todas las opciones se encuentran en est excepto dos que
pertenecen a Opciones de Seguridad y que son: Accounts: Rename administrator
account y Accounts: Rename guest account.
EDCOM
Pgina # 144
ESPOL

ADMINISTRACIN DE RECURSOS COMPARTIDOS

En la presente seccin se definen los parmetros generales de seguridad para la
administracin de recursos compartidos de red.
Impresoras
La creacin, configuracin, mantenimiento y borrado de impresoras en el esquema de
Active Directory ser responsabilidad del personal de soporte tcnico.
Las impresoras sern definidas en los servidores de Banco mediante el programa
Wizard Add Printer, teniendo en consideracin que al momento de la creacin se
debern completar los siguientes campos:
Campo
Contenido
Printer name
Nombre de la Impresora
Share as
Nombre con que se comparte
Location
Ubicacin fsica de la impresora PisoSector
Comment
Incluir direccin IP, Caractersticas (B/N,

color, formularios, etc.)
Tabla 0-19: Administracin de Recursos Compartidos

Asimismo, al momento de compartir un recurso de este tipo se deber especificar la
opcin de publicacin en el servicio de directorio y una vez creado se le debern aplicar
los permisos definidos a continuacin:
Grupo
Permiso
Administrators
Full Control
Print Operators
Full Control
Creator Owner
Manage
Documents
Users
Print
Tabla 0-20: Permisos por Grupo

Finalmente, se deber mover la impresora a la OU del rea de negocio correspondiente.
Archivos, directorios y unidades de disco compartidos (Shares)
Administracin de carpetas compartidas en servidores:
La responsabilidad de la creacin de accesos asociados a directorios o discos
compartidos (Shares) en los servidores, ser responsabilidad del administrador
EDCOM
Pgina # 145
ESPOL

designado por el propietario del recurso.

Todas las carpetas compartidas debern ser analizadas y autorizadas por el responsable
de seguridad con anterioridad a la publicacin de las mismas.
Carpetas compartidas en servidores Generalidades:
Dado que el acceso efectivo de un usuario a un directorio compartido se determina en
base a los permisos que tiene sobre el Share y los permisos que tiene sobre el sistema
de archivos, se deber implementar sobre ambos la misma restriccin a nivel de
permisos (tanto sobre el sistema de archivos como a nivel de carpeta compartida). Cada
carpeta compartida personalizada, a excepcin de aquellas creadas por defecto por el
sistema operativo, deber tener el siguiente esquema de permisos:
Grupo
Permiso
Administrators
Full Control
Usuarios autorizados por el Propietario de la Change

informacin
Tabla 0-21: Permisos por Grupo
ESQUEMA DE CARPETAS COMPARTIDAS
A continuacin se detalla el esquema de directorios compartidos bsicos, definidos en
un servidor de Banco al instalar el sistema operativo:
Lectora de CD / DVD
No debe estar compartida
Disquetera
No debe estar compartida
Impresoras
No deben existir impresoras instaladas en los

DC
Unidad$
Creados por defecto en la instalacin
ADMIN$
PRINT$
NETLOGON
IPC$
Tabla 0-22: Esquema de Carpetas Compartidas

Nota: Esta lista de recursos compartidos slo detalla la cantidad mnima de shares que
deben existir, pudiendo existir otros que hayan sido creados de acuerdo a los
lineamientos de Seguridad Informtica.
EDCOM
Pgina # 146
ESPOL

ESTRUCTURA
ASIGNADOS
DE
DIRECTORIOS
PERMISOS
Con el objeto de asegurar la integridad de los datos almacenados en los servidores, se

deber respetar la estructura y los permisos sobre los directorios ms relevantes, de
acuerdo al esquema siguiente.
ASIGNACIN DE PERMISOS SOBRE LA ESTRUCTURA ELEMENTAL DE
DIRECTORIOS
La asignacin de permisos deber efectuarse a travs de los grupos locales y globales
previamente definidos y no en forma directa a los usuarios finales, a fin de evitar la
prdida de permisos ante el borrado y nueva copia de los mismos.
Solamente debern asignarse permisos a usuarios particulares en sus correspondientes
directorios personales. Para ello, todos los discos utilizados por Windows 2003 Server
debern formatearse con el sistema de archivos NTFS.
Los permisos debern ser aplicados en el orden en que se presentan, a travs del uso de
una plantilla de seguridad que mantenga las definiciones desarrolladas a continuacin.
CONTROLADORES DE DOMINIO
Directorio
Archivos
%systemdrive%\
EDCOM
o Grupo
Permiso
Aplica
sobre
Administrators
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
Creator Owner
Full Control
Subfolde Replace
rs
&
Files
only
Pgina # 147
Modo
aplicarlos
de
ESPOL
Directorio
Archivos

o Grupo
Permiso
Server Operators Modify
%systemdrive
%\boot.ini
%systemdrive
%\ntbootdd.sys
%systemdrive
%\ntdetect.com
Modo
aplicarlos
Read & Execute This

folder
only
Replace
Administrators
Full Control
This
folder
only
Replace
System
Full Control
This
folder
only
Replace
This
folder
only
Replace
Administrators
Full Control
This
folder
only
Replace
System
Full Control
This
folder
only
Replace
This
folder
only
Replace
Administrators
Full Control
This
folder
only
Replace
System
Full Control
This
folder
only
Replace
This
folder
only
Replace
Pgina # 148
de
This
Replace
folder,
subfolder
s & Files
Authenticated
users
EDCOM
Aplica
sobre
ESPOL
Directorio
Archivos
%systemdrive
%\ntldr
%systemdrive
%\Program Files
%windir%
EDCOM

o Grupo
Permiso
Aplica
sobre
Modo
aplicarlos
Administrators
Full Control
This
folder
only
Replace
System
Full Control
This
folder
only
Replace
This
folder
only
Replace
Administrators
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
This
Replace
folder,
subfolder
s & Files
Creator Owner
Full Control
This
Replace
folder,
subfolder
s & Files
Authenticated
users
Read & Execute This

Replace
folder,
subfolder
s & Files
Administrators
Full Control
Pgina # 149
de
This
Replace
folder,
subfolder
s & Files
ESPOL
Directorio
Archivos

o Grupo
Permiso
Aplica
sobre
System
Full Control
This
Replace
folder,
subfolder
s & Files
Creator Owner
Full Control
This
Replace
folder,
subfolder
s & Files
%windir%\Ntds
%windir%\Repair
EDCOM
Modo
aplicarlos
This
Replace
folder,
subfolder
s & Files
Authenticated
users
Read & Execute This

Replace
folder,
subfolder
s & Files
Administrators
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
Administrators
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
Pgina # 150
de
ESPOL
Directorio
Archivos

o Grupo
%windir%\Security Administrators
System
Permiso
Aplica
sobre
Modo
aplicarlos
Full Control
This
Replace
folder,
subfolder
s & Files
Full Control
This
Replace
folder,
subfolder
s & Files
de
Server Operators Read & Execute This

Replace
folder,
subfolder
s & Files
Authenticated
users
Read & Execute This

Replace
folder,
subfolder
s & Files
%windir\System32\ Administrators
Config
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
Creator Owner
Full Control
This
Replace
folder,
subfolder
s & Files
Server Operators List

Folder This
Replace
Contents
folder,
subfolder
s & Files
EDCOM
Pgina # 151
ESPOL
Directorio
Archivos

o Grupo
Permiso
Aplica
sobre
Full Control
This
Replace
folder,
subfolder
s & Files
Full Control
This
Replace
folder,
subfolder
s & Files
%windir
Printer Operators
%\System32\spool
Modify
This
Propagate
folder,
subfolder
s & Files
%windir%\Sysvol1 Administrators
Full Control
This
Replace
folder,
subfolder
s & Files
Creator Owner
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
%windir
Administrators
%\System32\dllcac
he
System
Modo
aplicarlos
de
Server Operators Read & Execute This

Replace
folder,
subfolder
s & Files
Authenticated
users
Read & Execute This

Replace
folder,
subfolder
s & Files
1Solo para Domain Controllers. Sobre estos directorios tambin se generarn
automticamente permisos de read & execute para todos los grupos sobre los que
aplique una GPO.
EDCOM
Pgina # 152
ESPOL
Directorio
Archivos

o Grupo
Permiso
Aplica
sobre
%windir
Administrators
%\Sysvol\<Domain
>\Policies
Full Control
This
Replace
folder,
subfolder
s & Files
Creator Owner
Full Control
This
Replace
folder,
subfolder
s & Files
System
Full Control
This
Replace
folder,
subfolder
s & Files
Group
Policy Modify
Creator Owner
Modo
aplicarlos
de
This
Replace
folder,
subfolder
s & Files
Authenticated
users
Read & Execute This

Replace
folder,
subfolder
s & Files
Server Operators
Modify
This
Replace
folder,
subfolder
s & Files
Users
Read
This
Replace
folder,
subfolder
s & Files
EDCOM
Pgina # 153
ESPOL

SERVIDORES MIEMBRO STAND ALONE

Directorio
Archivos
%systemdrive%\
%systemdrive
%\boot.ini
%systemdrive
%\ntdetect.com
%systemdrive
%\ntldr
%systemdrive
%\Program Files
EDCOM
o Grupo
Permiso
Aplica sobre
Administrators
Full Control
This
folder, Replace
subfolders
&
Files
System
Full Control
This
folder, Replace
subfolders
&
Files
Creator Owner
Full Control
Subfolders
Files only
Power Users
Modify
This
folder, Replace
subfolders
&
Files
Authenticated
users
Read & Execute
This folder only Replace
Administrators
Full Control
System
Full Control
Power Users
Modify
Administrators
Full Control
System
Full Control
Power Users
Modify
Administrators
Full Control
System
Full Control
Power Users
Modify
Administrators
Full Control
This
folder, Replace
subfolders
&
Files
System
Full Control
This
folder, Replace
subfolders
&
Files
Power Users
Modify
This
folder, Replace
subfolders
&
Files
Creator Owner
Full Control
Subfolders
Files Only
Pgina # 154
Modo de
aplicarlos
& Replace
& Replace
ESPOL
Directorio
Archivos
%windir%
%windir%\Repair

o Grupo
Permiso
Aplica sobre
Authenticated
users
Read & Execute
This
folder, Replace
subfolders
&
Files
Administrators
Full Control
This
folder, Replace
subfolders
&
Files
System
Full Control
This
folder, Replace
subfolders
&
Files
Creator Owner
Full Control
Subfolders
Files Only
Power Users
Modify
This
folder, Replace
subfolders
&
Files
Authenticated
users
Read & Execute
This
folder, Replace
subfolders
&
Files
Administrators
Full Control
This
folder, Replace
subfolders
&
Files
System
Full Control
This
folder, Replace
subfolders
&
Files
Full Control
This
folder, Replace
subfolders
&
Files
System
Full Control
This
folder, Replace
subfolders
&
Files
Power Users
Read & Execute
This
folder, Replace
subfolders
&
Files
Authenticated
users
Read & Execute
This
folder, Replace
subfolders
&
Files
%windir%\Security Administrators
EDCOM
Pgina # 155
Modo de
aplicarlos
& Replace
ESPOL
Directorio
Archivos

o Grupo
Permiso
Aplica sobre
Full Control
This
folder, Replace
subfolders
&
Files
System
Full Control
This
folder, Replace
subfolders
&
Files
Creator Owner
Full Control
Subfolders
Files Only
Power Users
List
Contents
%windir
Administrators
%\System32\Config
%windir
Administrators
%\System32\dllcac
he
Modo de
aplicarlos
& Replace
Folder This folder and Replace

subfolders
Full Control
This
folder, Replace
subfolders
&
Files
Full Control
This
folder, Replace
subfolders
&
Files
%windir
Administrators
%\System32\spool
Full Control
This
folder, Replace
subfolders
&
Files
Creator Owner
Full Control
Subfolders
Files Only
System
Full Control
This
folder, Replace
subfolders
&
Files
Power Users
Modify
This
folder, Replace
subfolders
&
Files
Authenticated
users
Read & Execute
This
folder, Replace
subfolders
&
Files
System
& Replace
Tabla 0-24: Servidores Miembro Stand Alone
EDCOM
Pgina # 156
ESPOL

ADMINISTRACIN DE RECURSOS
ALTA DE CUENTAS DE USUARIOS
El administrador del entorno Windows deber asignar a cada usuario de la red un nico
identificador de usuario en el dominio .fin.ec el cual ser de carcter personal. Dicho
identificador de usuario deber ser incluido en l o los grupos globales
correspondientes de acuerdo al rol de la persona que har uso del mismo.
Adicionalmente la cuenta deber ubicarse en la unidad organizativa de Usuarios
correspondiente al rea de negocios en la cual el usuario realizar sus tareas habituales.
Cada vez que se cree una cuenta de usuario se deber incluir la siguiente informacin:
ACCOUNT
Deber completarse de la siguiente manera:
Propiedad
User
name
Valor / Descripcin
logon La cuenta de usuario personal deber responder a la nomenclatura
estndar utilizada por Banco, tal como se detalla en la Poltica de
control de acceso de la Entidad (PC.POL.1.4).
El dominio de inicio de sesin del usuario deber ser @ .fin.ec
User
logon Ser identico al User logon name.
name
(PreWindows 2000) El dominio de inicio de sesin del usuario ser Matriz\
Logon Hours
En general no debern restringirse los accesos a los usuarios a

determinados perodos de tiempo.
Log On To
En general no debern restringirse los accesos a los usuarios a

determinados equipos.
User
must Se seleccionar esta caracterstica para obligar al usuario a que
change
modifique la contrasea la prxima vez que ingrese a la red.
password at next
logon
User
cannot No se seleccionar esta opcin, permitiendo que el responsable de
change
la cuenta modifique la contrasea cuando lo considere necesario.
password
Password never No se seleccionar esta opcin para implementar el vencimiento
expires
de contrasea segn los valores generales.
Store password Determina si las contraseas de usuario pueden ser almacenadas
EDCOM
Pgina # 157
ESPOL
Propiedad

Valor / Descripcin
using reversible usando un hash de dos direcciones. Almacenar contraseas en este

encription
formato es similar a almacenarlas en texto plano por lo que esta
opcin debe estar desactivada.
Account
disabled
is Se seleccionar esta opcin para que permanezca bloqueada hasta

que el usuario se comunique con el responsable de seguridad para
su ingreso.
Smart Card is Solicita el uso de una Smart Card para permitir el inicio de sesin
required
for del usuario. Esta opcin debe estar deshabilitada.
interactive
logon
Account
trusted
delegation
is Brinda a los servicios corriendo bajo una cuenta de usuario la

for habilidad de reenviar tickets de Kerberos. Existen muchos
servicios en los que este parmetro es necesario y solo debe ser
activado en cuentas que corren estos servicios. Un ejemplo de
servicio que requiere delegacin es cuando un usuario se conecta
a un servidor Web y recupera su mail desde un servidor de
Exchange.
No aplica para cuentas de usuario. Esta opcin debe estar
deshabilitada.
Account
sensitive
cannot
delegated
is Habilitar esta opcin significa que un usuario no puede

and redireccionar sus credenciales.
be Deber estar seleccionada para cuentas administrativas o sensibles.
Use
DES Permite el uso de encripcin DES de 56 bits en lugar de la
encryption types encripcin RC4 de 128 bits utilizada en la implementacin de
for this account Kerberos de Microsoft. Esta opcin est incluida para interoperar
con implementaciones de Kerberos en Unix mas viejas. Esta
opcin debe estar deshabilitada.
Do not require
Kerberos
preauthenticatio
n
Requerir pre-autenticacin hace significativamente ms difcil que

un atacante pueda reunir informacin en caso de producirse un
ataque de adivinacin de contraseas. Esta opcin debe estar
deshabilitada.
Account expires
En general las cuentas de usuario no debern tener fecha de

expiracin, salvo en los casos de personal que efecte trabajos
temporarios y se conozca con certeza la fecha en que dejarn de
prestar servicio.
EDCOM
Pgina # 158
ESPOL

Tabla 0-25: Account
PASSWORD
Como contrasea inicial deber ingresarse una palabra combinada de ocho (8)
caracteres como mnimo, que estar formada por letras y nmeros.
GENERAL
Deber completarse con los datos descriptivos del usuario a saber: Nombre, Apellido,
Iniciales, Descripcin (cargo que ocupa, para aquellas cuentas pertenecientes a terceros
contratados, se agregar el indicativo (Externo)), Oficina Nmero de telfono, y
Direccin de e-mail.
ADDRESS
Deber completarse con los datos del lugar de trabajo donde el usuario efecta sus
tareas habituales, a saber: Calle, Nmero, Ciudad, Estado o Provincia, Cdigo postal y
pas.
PROFILE
Profile path
En los casos en los que se habilite al usuario a tener un

roaming profile el mismo deber permanecer en el
directorio de usuario, esto es : \\SERVER\Usr\Usuario
Logon script
En caso de que el usuario cuente con scripts de inicio de

sesin los mismos debern ser mencionados en este cuadro
y ubicarse en
\\DOMBBSRV\WINDOWS\scripts\run_block.vbs
Connect
Tabla 0-26: Profile
TELEPHONES
Completar con telfonos mviles, Fax, Pager, otras oficinas, etc.....
ORGANIZATION
EDCOM
Pgina # 159
ESPOL

Title
Completar con el cargo que desempea el usuario.
Department
Departamento en el cual desempea sus tareas.
Company
Compaa
EXCHANGE
Por Default debe tener deshabilitado en propiedades, caractersticas del Exchange:
Outlook
Mobile
Access
En los casos en los que se habilite el buzn con un telfono

mvil u otros dispositivos inalmbricos.
Sincronizaci Permite que el usuario sincronice el buzn con dispositivos

n iniciada por inalmbricos.
el usuario
Notificacione Mantiene siempre actualizados los datos de dispositivos
s
de inalmbricos.
Actualizacin
Outlook Web Permite que el usuario tenga acceso al buzn con un
Access
explorador web.
POP3
Permite que el usuario tenga acceso al buzn con un

cliente de correo electrnico POP3.
IMAP4
Permite que el usuario tenga acceso al buzn con un

cliente de correo electrnico IMAP4.
Tabla 0-27: Exchange
TERMINAL SERVICE PROFILE, ENVIROMENT Y SESSION

En general ningn usuario poseer un perfil de de Terminal Services habilitado, salvo
que alguna instalacin de servidor de aplicaciones lo requiera, en cuyo caso se
analizar cada situacin en particular.
REMOTE CONTROL
Deber configurarse de manera que ningn usuario est habilitado para controlar u
observar remotamente ninguna sesin de usuario.
PROFILE
En general todos los usuarios deben crearse con el logon script run_block.vbs.
EDCOM
Pgina # 160
ESPOL

EXCHANGE
Deber configurarse de manera que ningn usuario est habilitado para tener acceso al
buzn de correo electrnico con un explorador Web, excepto los usuarios que tengan
blackberry autorizados por el Banco.
ALTA DE CUENTA DE SERVICIOS

Para aquellos servicios que requieran ejecutarse con una cuenta diferente a
Localsystem, el administrador de seguridad deber asignar un nico identificador de
usuario de servicio a nivel local o en el dominio de Banco , que deber ser incluido en
l o los grupos globales necesarios para la asignacin de derechos de usuarios y
permisos. Adems la cuenta deber ubicarse en la unidad organizacional de Usuarios
correspondiente al sitio en el cual se ejecuta el servicio al que la cuenta pertenece. Para
las cuentas de los sistemas que no puedan ser modificadas se conservar la
configuracin original. Por ej.: Builtin Accounts o cuentas de sistemas preconfigurados y cerrados.
Cada vez que se cree una cuenta de servicio se deber incluir la siguiente informacin:
ACCOUNT
Propiedades
User
name
Valores / Descripcin
logon La nomenclatura utilizada para los identificadores de usuarios

de servicio deber responder de acuerdo a las siguientes
consideraciones:
El nombre de la cuenta comenzar con las siglas Admin_
indicando que se trata de una cuenta de servicio.
Los tres caracteres siguientes con el cdigo correspondiente al
tipo de servicio.
Los ltimos tres caracteres con un nmero secuencial definido
por el responsable de seguridad.
En el caso en que el servicio no requiera una cuenta especial
podr utilizar la cuenta System Local Account. (Ver en este
mismo captulo Consideraciones adicionales).
El dominio de inicio de sesin de las cuentas deber ser @
EDCOM
Pgina # 161
ESPOL
Propiedades

.fin.ec
User
logon Idem a User logon name.
name
(Pre- El dominio de inicio de sesin de la cuenta ser Matriz\
Windows 2000)
Logon Hours
En general no deber restringirse el acceso de las cuentas de

servicio a determinados perodos de tiempo.
Log On To
Las cuentas de servicio debern estar restringidas

exclusivamente a aquellos servidores en los que el servicio
que es soportado necesita loguearse.
User
must Salvo que la funcionalidad de la cuenta especial lo permita,
change
esta opcin no deber activarse.
password at next
logon
User
cannot Se seleccionar esta opcin, permitiendo que solo el
change
administrador del entorno Windows modifique la contrasea
password
de la cuenta cuando lo considere necesario.
Password never Se seleccionar esta opcin para inhabilitar el vencimiento
expires
de contrasea segn los valores generales.
Store password Determina si las passwords de usuario pueden ser almacedas
using reversible usando un hash de dos direcciones. Almacenar passwords en
encription
este formato es similar a almacenarlas en texto plano por lo
que esta opcin debe estar desactivada.
Account
disabled
is Se seleccionar esta opcin para que permanezca bloqueada

hasta que el responsable del servicio que la cuenta soporta se
comunique con el responsable de seguridad requiriendo su
habilitacin.
Smart Card is Solicita el uso de una Smart Card para permitir el inicio de
required
for sesin del usuario. Esta opcin debe estar deshabilitada.
interactive
logon
Account
trusted
delegation
EDCOM
is Brinda a los servicios corriendo bajo una cuenta de usuario la

for habilidad de reenviar tickets de Kerberos. Existen muchos
servicios en los que este parmetro es necesario y solo debe
ser activado en cuentas que corren estos servicios. Un
ejemplo de servicio que requiere delegacin es cuando un
usuario se conecta a un servidor Web y recupera su mail
Pgina # 162
ESPOL
Propiedades

desde un servidor de Exchange.
Esta opcin deber estar deshabilitada, salvo en los casos
especiales en los que el servicio lo requiera lo cual deber ser
analizado por el responsable de seguridad.
Account
sensitive
cannot
delegated
is Habilitar esta opcin significa que un usuario no puede

and redireccionar sus credenciales.
be Esta opcin debe estar habilitada.
Use
DES Permite el uso de encripcin DES de 56 bits en lugar de la
encryption types encripcin RC4 de 128 bits utilizada en la implementacin de
for this account Kerberos de Microsoft. Esta opcin est includa para
interoperar con implementaciones de Kerberos sobre Unix
antiguas. Esta opcin debe estar deshabilitada.
Do not require
Kerberos
preauthenticatio
n
Requerir pre-autenticacin hace significativamente mas difcil

que un atacante pueda reunir informacin en caso de
producirse un ataque de adivinacin de passwords.
Esta opcin debe estar deshabilitada.
Account expires
En general las cuentas de servicios o aplicaciones no debern

tener fecha de expiracin.
Esta opcin debe estar deshabilitada.
Tabla 0-28: Alta de Cuentas de Servicio
PASSWORD
Como contrasea de las cuentas de servicio deber ingresarse una palabra combinada
de catorce (14) caracteres como mnimo, que estar formada por letras, nmeros y
caracteres especiales.
GENERAL
Debern completarse los siguientes campos:
Display Name
Idem User Logon name en Account
Description
Se indicar la funcin para la cual fue creada la cuenta,

o bien el servicio que la estar utilizando y el servidor
en el que corre.
Tabla 0-29: Alta de Cuenta de Servicio Password
EDCOM
Pgina # 163
ESPOL

ADDRESS, PROFILE, TELEPHONES Y ORGANIZATION

No deber completarse con ningn dato adicional.
TERMINAL SERVICES, PROFILE, ENVIROMENT Y SESSION

Ninguna cuenta de servicio poseer un Profile de Terminal Services habilitado.
REMOTE CONTROL
Ninguna cuenta de servicio estar habilitada para controlar u observar remotamente
ninguna sesin de usuario.
CONSIDERACIONES ADICIONALES
La cuenta Administrator deber ser renombrada y resguardada en sobre cerrado junto
con su contrasea.
Las cuentas Guest, TSInternetUser y Krbtgt debern inhabilitarse.
En los casos en que los servicios de Internet Information Services (IIS) no requieran el
uso del inicio de sesin annimo o en los Domain Controllers, las cuentas
IWAM_Server e IUSR_Server debern inhabilitarse.
ALTAS A CUENTAS DOMAIN ADMIN

Las solicitudes de cuentas Domain Admins deben ser aprobadas por el Gerente de
Sistemas y el Gerente de Seguridad Informtica
Establecer el sistema propietario de la cuenta, la contrasea debe estar encriptada y
justificar documentadamente el requerimiento
La nueva cuenta Domain Admins debe estar ensobrada
Establecerse los derechos de usuarios de la cuenta (limitar sus autorizaciones de acceso
a lo necesario)
DEFINIR EN QUE EQUIPOS NICAMENTE PUEDE DAR LOGON
Las cuentas Domain Admins para usuarios personales, adems de cumplir con los
requerimientos establecidos por Seguridad Informtica deben estar aprobados por el
rea de Seguridad de acuerdo con sus procedimientos.
ADMINISTRACIN DE GRUPOS
Grupos sensitivos creados en la instalacin (En proceso de depuracin por parte de
seguridad informtica y sistemasEn los controladores de dominio de Banco, los grupos
creados por defecto en la instalacin del sistema operativo debern estar asociados a los
EDCOM
Pgina # 164
ESPOL

siguientes usuarios:
Nombre
Grupo
del Alcance
Descripcin
Miembros
Grupo
del
Domain admin.
Global
Sus miembros tienen privilegios El documento que

mximos sobre el dominio.
contiene
los
nombres del grupo
es:
Sig_Domain_Admi
ns.xls
Domain Users
Global
Usuarios del Dominio
Usuarios
dominio
Domain Guests
Global
Usuarios Invitados.
Sin usuarios
Administrators
Local
Sus miembros tienen privilegios Domain Admin.

mximos sobre el sistema.
Enterprise Admin.
Server
Operators
Local
Sus miembros administran los El documento que

servidores.
contiene
los
nombres del grupo
es:
Sig_server_operator
s.xls
Account
Operators
Local
Sus miembros administran las Sin Usuarios

cuentas de los usuarios y los
grupos.
Print Operators
Local
Sus miembros administran las Sin usuarios

impresoras.
del
Back
Operators
Up Local
Sus miembros efectan tareas Cuentas de usuario

de generacin/restauracin de utilizadas por el
copias de respaldo.
software de backup
Everyone
Local
Todas las cuentas de usuarios Todos los usuarios

que han establecido una conectados
conexin con el servidor.
Users
Local
Sus miembros tienen los

permisos
necesarios
para
ejecutar
aplicaciones
y
administrar ciertos archivos.
EDCOM
Pgina # 165
Usuarios
dominio
privilegios
especiales.
del
sin
ESPOL
Nombre
Grupo
Guests

del Alcance
Local
Power
Users Local
(Servidores
Miembro)
Descripcin
Miembros
Grupo
del
Permite que cualquier persona TSInternetUser

sin una cuenta definida acceda a
la red.
Grupo con derechos especiales En funcin del rol
de operacin.
del servidor, se
deben identificar los
usuarios
con
privilegios
especiales sobre el
mismo.
CREACIN DE GRUPOS Y ASIGNACIN DE GRUPOS A

USUARIOS
Se deber seguir con la siguiente premisa a la hora de crear grupos en el dominio,
siempre y cuando ninguna especificacin tcnica lo impida:
Se crearn Grupos locales de dominio (Domain local groups) a los cuales se les
asignar permisos sobre los recursos.
Se crearn Grupos Globales basados en la funciones o roles de trabajo del personal.

Se agregarn las cuentas de usuarios a estos grupos globales y estos ltimos dentro de
los grupos locales a los cuales se les asigno los permisos apropiados.
Siempre se deber evitar asignar permisos directamente a las cuentas de usuario.
CONSIDERACIONES MNIMAS SOBRE PERMISOS PERMITIDOS/NO

PERMITIDOS
A continuacin se detallan los servicios que podrn estar ejecutndose o no, en los
servidores de Banco. Cualquier otro servicio que no est en este listado, o que no
cumpla una funcin especfica en el servidor, deber ser analizado, para verificar si
puede ser inhabilitado o es necesario para el normal funcionamiento del servidor en
cuestin.
EDCOM
Pgina # 166
ESPOL

CONTROLADORES DE DOMINIO
Servicio
Modo
activacin
Automatic Updates(P)
Automtico
DHCP Server
Deshabilitado
Distributed File System(P)
Automtico
DNS Server(P)
Automtico
Event Log(P)
Automtico
File Replication(P)
Automtico
Intersite Messaging(P)
Automtico
Kerberos Key Distribution Center(P)
Automtico
Net Logon(P)
Automtico
NT LM Security Support Provider(P)
Automtico
Remote Procedure Call (RPC)(P)
Automtico
Windows Time(P)
Automtico
Distributed Link Tracking Server(P)
Deshabilitado
Fax
Deshabilitado
FTP Publishing Service
Deshabilitado
IIS Admin Service
Deshabilitado
Simple Mail Transport Protocol (SMTP)
Deshabilitado
Telnet(P)
Deshabilitado
de
EDCOM
Pgina # 167
ESPOL

MEMBER SERVERS Y STAND ALONE

Servicio
Modo
activacin
de
1Automatic Updates(P)
Automtico
2Distributed File System(P)
Automtico
3Event Log(P)
Automtico
4Remote Procedure Call (RPC)(P)
Automtico
5Windows Time(P)
Automtico
DHCP Server
Deshabilitado
6Distributed Link Tracking Server(P)
Deshabilitado
7DNS Server(P)
Deshabilitado
Fax
Deshabilitado
FTP Publishing Service
Deshabilitado1
IIS Admin Service
Deshabilitado2
8Intersite Messaging(P)
Deshabilitado3
* En la plantilla de AseguramientoBase
Plus sin Disco w2k3-v10-exchange est
como Not Defined.
9Kerberos Key Distribution Center(P)
Deshabilitado
10NT LM Security Support Provider(P) Deshabilitado4

* En las plantillas de AseguramientoBase
Plus sin Disco w2k3-v10-MSQ.
AseguramientoBase Plus sin Disco
w2k3-v10-exchange est con automtico.
Simple Mail Transport Protocol (SMTP)
Deshabilitado3
Telnet(P)
Deshabilitado
File Replication(P)
Manual
Net Logon(P)
Manual
En las plantillas la opcin queda con
Automtico.
Tabla 0-31: Member Servers y Stand Alone
1 Habilitar en servidores FTP
2 Habilitar en servidores IIS
3 Habilitar en servidores Exchange o SMTP
4 Habilitar en servidores Exchange
EDCOM
Pgina # 168
ESPOL

Para los servicios especficos deben tenerse en cuenta los diferentes estndares de
configuracin, segn las funcionalidades brindadas por los servidores.
Los servicios se encuentran tambin implementados en las plantillas de polticas
implementadas en el GPO de Active Directory y que se encuentran detalladas
anteriormente.
Nota: En el cuadro de servicios para Controladores de Dominio y Servidores
Miembro/Stand Alone existe una (P) que indica las opciones que estn implementadas
en la plantillas de poltica.
SUBSISTEMAS OS/2 y POSIX

Debern estar deshabilitados los subsistemas OS/2 y POSIX ya que la seguridad de los
mismos no se encuentra completamente probada.
Para quitar el soporte para OS/2 y POSIX debern realizarse las siguientes acciones:
Eliminar de %windir%\system32\dllcache los siguientes archivos: os2.exe, os2ss.exe,
os2srv.exe, doscall.dll, netapi.os2 y netapi.dll
Eliminar de %windir%\system32 los siguientes archivos: os2.exe, os2ss.exe,
os2srv.exe, psxss.exe, posix.exe y psxdll.dll
Eliminar de %windir%\system32\os2\dll los archivos: doscall.dll y netapi.dll.
Nota de implementacin: Cabe destacar que las libreras DLL son utilizadas por
programas de tecnologa system16, por lo cual en caso de ser necesaria la utilizacin de
aplicaciones de dichas caractersticas se recomienda reinstalar las mismas.
Nota de implementacin: Los archivos deben eliminarse en el orden indicado.
EDCOM
Pgina # 169
ESPOL

ESTNDAR DE SEGURIDAD PARA MS SQL SERVER

2008
Validaciones del estndar
Evelyn Mota
Navarrete
Aprobacin
(Validacin)
Joffre
20-Abril2011
PreliminarFecha
Marcel Len Lafebr

26-Abril-2011
Aprobacin Definitiva Fecha
ASPECTOS GENERALES
OBJETIVO
Definir las medidas necesarias para implementar un ambiente seguro en los servidores
de base de datos Microsoft SQL Server 2008 de Banco.
MBITO DE APLICACIN
Todos los servidores de base de datos MS SQL Server 2008 de Banco.
Normativa Marco (Normativas Superior de Referencia)
PC.POL.1- Poltica General de Seguridad de la Informacin
Normativa Derogada
Ninguna.
Otras Normativas Asociadas
Ninguna.
Vigencia
Este Estndar de Configuracin entrar en vigencia a partir del mes de Agosto de 2011.
Disposiciones Generales y Transitorias
Seguridad de la Informacin de Banco. Los resultados de la revisin, y los cambios que
se sucedan, sern reportados al Comit de Seguridad de la Informacin y comunicados
a los involucrados antes de ser implementados.
La falta de cumplimiento de las definiciones descriptas en el presente procedimiento,
estar sujeta a las sanciones disciplinarias que amerite cada caso.
EDCOM
Pgina # 170
ESPOL

rea de Seguridad de la Informacin:
Responsable de Seguridad de la Informacin: Tendr a su cargo el
mantenimiento del presente estndar, junto con las tareas de verificacin del
cumplimiento del mismo.
Gerente de Sistemas: Deber garantizar que los funcionarios del rea de
sistemas, encargados de realizar la administracin de los servidores de base de
datos MS SQL Server 2008, implementen los estndares de configuracin
definidos en forma efectiva y oportuna.
Administradores de plataforma MS SQL Server 2008: Sern encargados de
implementar el presente estndar, siguiendo los lineamientos y tareas
mencionadas en el mismo. Asimismo, debern informar al Gerente de Sistemas
sobre las configuraciones de seguridad que no puedan ser implementadas por
restricciones tcnicas y/o de negocio, las cuales debern quedar adecuadamente
documentadas.
EDCOM
Pgina # 171
ESPOL

CONFIGURACIN GENERAL DE LA SEGURIDAD

OBJETIVO
Considerar las medidas bsicas de seguridad a tener en cuenta al configurar el servidor
Microsoft SQL 2008.
CUENTA DE SERVICIO
Para los equipos Stand-Alone:
En caso que el servicio de MSSQL Server no requiera la conectividad o
utilizacin de otros recursos de la red (como ser link de bases de datos) deber
utilizar la cuenta local de sistema Local Service para inicializar los servicios
de la instancia. En caso contrario, se deber utilizar la cuenta Network
Service.
Para los equipos Miembros del Dominio:
Se deber asignar una cuenta de dominio con la nomenclatura
Admin_SQL_nnn, donde nnn es un nmero interno adecuado asignado por el
Responsable de Seguridad de la Informacin de la Entidad.
La misma deber ser incluida en los grupos de servicio de MSSQL (los cuales
se detallan en las siguientes secciones del presente documento) y ser
configurada como cuenta inicializadora de los servicios de SQL Server de la
instancia (a excepcin del servicio SQL Server VSS Writer, para el cual debern
mantenerse los permisos por defecto sobre la cuenta SYSTEM), segn se
muestra a continuacin:
La contrasea asignada a la cuenta de servicios utilizada deber poseer asignada una
contrasea compleja, con una contrasea de al menos 8 caracteres de longitud, y ser
almacenada en sobre cerrado, de acuerdo a lo establecido en el procedimiento de
administracin de usuarios de mximos privilegios de la Entidad.
Como complementos adicionales de seguridad, durante la instalacin de la instancia de
bases de datos, sern generados seis grupos especiales a nivel de sistema operativo.
Cada uno de los grupos mencionados se encuentra asociado a un servicio particular de
la instancia y poseen asociados los privilegios mnimos requeridos sobre el sistema
operativo para que estos funcionen de manera consistente. A continuacin se detallan
dichos grupos, con sus correspondientes privilegios asignados:
EDCOM
Pgina # 172
ESPOL
Servicio de
SQL Server
SQL Server

Grupo
Permisos asignados por

defecto durante la
instalacin
Instancia por defecto:

SQLServerMSSQLUser$ComputerNa
me$MSSQLSERVER
Log on as a service
Log on as a batch job
Replace a process-level
token
Instancia renombrada (el nombre no Bypass traverse checking
es
por
defecto): Adjust memory quotas
SQLServerMSSQLUser$ComputerNa for a process
me$InstanceName
Permisos para iniciar el
servicio
SQL Server
Active Directory Helper
Permisos para iniciar el
servicio SQL Writer
Permisos para leer el
servicio de Event Log
Permisos para leer el
servicio
de
Remote
Procedure Call
SQL Server Instancia por defecto:

Agent
SQLServerSQLAgentUser$Computer
Name$MSSQLSERVER
Log on as a service
Replace a process-level
token
Instancia renombrada (el nombre no Bypass traverse checking
es por defecto):
Adjust memory quotas
SQLServerSQLAgentUser$Computer for a process
Name$InstanceName
Analysis
Services

SQLServerMSOLAPUser$Computer
Name$MSSQLSERVER
Log on as a service
Instancia renombrada (el nombre no

es por defecto):
SQLServerMSOLAPUser$Computer
Name$InstanceName
SSRS
EDCOM
Instancia
por
defecto:
Pgina # 173
Log on as a service
ESPOL
Servicio de
SQL Server

Grupo
Permisos asignados por

defecto durante la
instalacin
SQLServerReportServerUser$Comput
erName$MSRS10.MSSQLSERVER
es por defecto):
SQLServerReportServerUser$Comput
erName$MSRS10.InstanceName
Integration
Services
Instancia por defecto o renombrada:

SQLServerDTSUser$ComputerName
Log on as a service
Permisos para escribir en
el application event log.
Bypass traverse checking
Impersonate a client after
authentication
Full-text
Search

SQLServerFDHostUser$ComputerNa
me$MSSQL10.MSSQLSERVER
Log on as a service

es por defecto):
SQLServerFDHostUser$ComputerNa
me$MSSQL10.InstanceName
SQL Server Instancia por defecto o renombrada:
Browser
SQLServerSQLBrowserUser$Comput
erName
Log on as a service
SQL Server Instancia por defecto o renombrada:

Active
SQLServerMSSQLServerADHelperU
Directory
ser$ComputerName
Helper
Ninguno(2)
Ninguno(2)
N/A
SQL Writer
Tabla 0-32: Cuentas de Servicio

La instalacin de SQL Server no controla o asigna Permisos para este servicio.
EDCOM
Pgina # 174
ESPOL

DIRECTORIOS DE INSTALACIN Y PERMISOS EN

WINDOWS 2003/2008
El producto y sus archivos ejecutables se instalarn en el directorio C:\MSSQL,
mientras que los archivos correspondientes a datos, auditora, copias de respaldo, etc.
sern almacenados en otras particiones del equipo, respetando el como raz el directorio
<drive>\MSSQL.
Usuario/Grupo
Directorio
Auditoria
<drive>\MSSQL\AUDITORI
A
Copias de respaldo
<drive>\MSSQL\BACKUP
Datos
<drive>\MSSQL\DATA
Tabla 0-33: Directorios de Instalacin
Debern asignarse los siguientes permisos sobre los directorios C:\MSSQL y

<drive>\MSSQL, replicndolos sobre los subdirectorios dependientes:
Usuario/Grupo
Permisos
Administradores
Full Control
System
Full Control
SQLServerMSSQLUser$ComputerName$Instance
Name
Read & Execute
Tabla 0-34: Permisos en Windows

Debern asignarse los siguientes permisos sobre los directorios C:\MSSQL\DATA y
<drive>\MSSQL\DATA, <drive>\MSSQL\AUDITORIA y <drive>\MSSQL\BACKUP
replicndolos sobre los subdirectorios dependientes:
Usuario/Grupo
Permisos
Administradores
Full Control
System
Full Control
SQLServerMSSQLUser$ComputerName$Instance
Name
Full Control
Tabla 0-35: Permisos

EDCOM
Pgina # 175
ESPOL

Todos los archivos del sistema operativo que contienen bases de datos deben ubicarse
en el directorio <drive>\MSSQL\DATA, tanto para los archivos primarios
(extensin .mdf), secundarios (extensin .ndf), y de log (extensin .ldf).
Los usuarios no debern poseer permisos sobre estos archivos, ya que SQL Server se
encarga de gestionar los accesos a travs de su propia seguridad. Por lo tanto, regirn
para este subdirectorio los mismos permisos mencionados para el directorio principal
de la base de datos.
Poltica de Contraseas
CUENTA DE ADMINISTRADOR
La contrasea de la cuenta del usuario administrador SA (System Administrator)
ser cambiada, deber poseer una longitud mnima de 8 caracteres y ser administrada
de acuerdo al Procedimiento de Administracin de Usuarios de Mximos Privilegios de
la Entidad.
Si bien la cuenta SA deber contar con las polticas de contraseas y cuentas de usuario
definidas en el estndar de la plataforma Windows 2000/2003, dicha cuenta deber
contar con la excepcin a la poltica de expiracin de contraseas, tal como se muestra
a continuacin:
CUENTA DE USUARIOS FINALES

Todas las cuentas locales de la instancia debern contar con la poltica de contraseas y
expiracin de cuentas activa. Adems, para todo cambio de contrasea que efecte el
administrador (sea por creacin o cambio de la misma) deber seleccionar la opcin
que la contrasea cambie en el prximo inicio de sesin del usuario. A continuacin se
muestra dicha configuracin:
Cabe destacar, que podrn ser utilizados los mecanismos de autenticacin por
certificado o clave asimtrica provistos por SQL Server 2008.
MODO DE SEGURIDAD
El modo de autenticacin a utilizar para el acceso al servidor de base de datos es el
basado en SQL Server y Windows, tal como se muestra a continuacin:
EDCOM
Pgina # 176
ESPOL

CONEXIONES CON OTROS USUARIOS REMOTE SERVER

Se deber desactivar la funcionalidad includa en el servicio para la ejecucin de stored
procedures desde servidores remotos. La misma deber ser reemplazada por la
utilizacin de linked servers.
Para desactivar la funcionalidad mencionada deber establecerse la siguiente
configuracin:
LINKED SERVERS
Esta facilidad debe habilitarse slo en caso de ser requerida para asegurar la
funcionalidad de alguna aplicacin. En particular, no debe utilizarse para fines
administrativos.
Las opciones deben configurarse de la siguiente manera:
Data access: Habilitarse slo en caso de precisarse la ejecucin de consultas
contra el servidor remoto.
RPC: Debe estar inhabilitado.
RPC out: Habilitarse slo en caso de precisarse la ejecucin de stored
procedures en el servidor remoto.
Lazy Schema Validation: siempre debe estar en False
Distributor/Publisher: habilitarse solo en caso de querer publicar informacin
que sea accesible desde otros db-links.
Las opciones de seguridad deben configurarse de la siguiente manera:
Seguridad para usuarios no definidos especficamente: Debe seleccionarse la primera
opcin, a fin de denegar el acceso a usuarios no especificados.
Lista de usuarios: De acuerdo al esquema de permisos utilizado por la aplicacin, se
presentan las siguientes alternativas:
VNCULO USUARIO-USUARIO
El administrador de Base de Datos deber vincular, en una relacin de uno a uno, los
usuarios del servidor local, que necesiten acceso, con los usuarios del servidor remoto.
VNCULO USUARIO USUARIO GENRICO

El administrador de Base de Datos deber vincular los usuarios del servidor local, que
necesiten acceso, con un usuario genrico del servidor remoto.
EDCOM
Pgina # 177
ESPOL

VNCULO USUARIO USUARIO CON OPCION IMPERSONATE

El administrador de Base de Datos deber incorporar a la lista a los usuarios que
necesiten acceder al servidor remoto, activando la opcin de impersonate, lo que obliga
a que los usuarios en ambas bases posean el mismo login id y contrasea. Se
recomienda utilizar esta alternativa.
EDCOM
Pgina # 178
ESPOL

CONFIGURACIN DE SQL SERVER AGENT

CONEXIN DEL SQL AGENT CON SQL
Por defecto, SQL Server 2008 utiliza el modo de autenticacin nativa de Windows. En
caso que se haya podido habilitar la opcin de seleccionar el mecanismo de
autenticacin local, deber utilizarse el modo de autenticacin de Windows.
CASILLA DE CORREO ASOCIADA A SERVICIOS

Se permitir la asignacin de una casilla de correo a los servicios de SQL y SQL
Server Agent, posibilitando el envo de mensajes y alertas a los operadores. A
continuacin se muestra como debera configurarse:
Figura 7: Configuracin de SQL

Asimismo, dichas casillas debern parametrizarse teniendo en cuenta los siguientes
lineamientos:
Se deber seleccionar el sistema de correo SQLMail, para poder asignar una
cuenta de correos Exchange.
El perfil de correos (Mail profile) deber ser un perfil vlido en Exchange (una
cuenta de correos vlida).
Se deber configurar al menos la lnea de destinatario principal.
Las dems propiedades de la casilla deben completarse segn las
EDCOM
Pgina # 179
ESPOL

consideraciones sobre casillas genricas descriptas en el Estndar de Seguridad

de Microsoft Exchange.
Se deber crear una lista de distribucin denominada Alertas SQL, en la cual
se incorporar al personal involucrado de los sectores de Administracin de
Bases de Datos, Seguridad de la Informacin, o los funcionarios que se
considere necesario.
Las tareas programadas en los equipos debern enviar un mensaje, a la lista de
distribucin mencionada previamente, una vez finalizada en forma exitosa o
fallida.
Consideraciones adicionales
Usuario Guest: No debe crearse el usuario guest en ninguna base de datos.
Cualquier login id que no tenga un usuario propio es asociado a guest, lo cual
permitira a un usuario no autorizado acceder a una base de datos, y obtener los
derechos del grupo Public.
En el caso de las bases de datos master, tempdb, el usuario guest es creado por
el servidor SQL automticamente y no debe eliminarse.
En el caso de la base msdb, si bien el usuario tambin es creado por defecto,
debe ser eliminado.
Asimismo, este usuario deber eliminarse de la base de datos model, para que
las futuras bases que sean generadas no lo incluyan.
EDCOM
Pgina # 180
ESPOL

ROLES DE ADMINISTRACIN DEL SERVIDOR

OBJETIVO
Describir las pautas a tener en cuenta al configurar el acceso de usuarios con derechos
de administracin al servidor SQL.
ESQUEMA DE ROLES
La responsabilidad de administracin de servidores SQL descansa exclusivamente
sobre las reas de Sistemas (sector de Ingeniera) y Seguridad de la Informacin de
Banco
Se identifican las siguientes funciones o roles de administracin a tener en cuenta:
Administrador de Base de Datos
Tiene a su cargo las siguientes tareas:
Creacin y mantenimiento de bases de datos
Generacin de copias de respaldo adicionales a las programadas
Restauracin de bases de datos
Administracin de alertas, tareas y operadores
Monitoreo y revisin de los servidores
Resolucin de problemas tcnicos y de mantenimiento del producto
Instalacin de actualizaciones.
Para cumplir esta funcin se requieren los privilegios de acceso del rol predefinido
System Administrator.
Debido al nivel de acceso que este perfil posee, deber ser auditada toda su actividad
(ref. Seccin Auditoria de Eventos del presente documento).
ADMINISTRADOR DE SEGURIDAD
Tiene a su cargo las tareas relacionadas con la administracin de logins, contraseas,
usuarios, y sus autorizaciones en las bases de datos. Para esto, precisar las
autorizaciones pertinentes por parte del Propietario de los Datos.
Para cumplir esta funcin se requieren los privilegios de acceso de los siguientes roles
predefinidos:
Security administrator (rol de servidor securityadmin)
db_accessadmin (rol de base de datos)
db_securityadmin (rol de base de datos)
Debido al nivel de acceso que este perfil posee, debe ser auditada toda su
actividad (ref. Seccin Auditora de Eventos del presente documento).
EDCOM
Pgina # 181
ESPOL

ADMINISTRACIN DE CONTRASEAS
A fin de posibilitar al Administrador de Seguridad la reasignacin de contraseas en
caso de solicitud por parte del responsable de la cuenta, debe modificarse el stored
procedure sp_password.
El procedimiento por defecto restringe el cambio de contraseas al titular de una
cuenta, y a los integrantes del rol sysadmin. La modificacin a incorporar consiste en
extender esta capacidad a miembros del rol securityadmin.
ADMINISTRADOR DEL SERVICIO PARA EMERGENCIAS

En caso de precisarse el acceso con privilegios de administrador sobre la base de datos
(System Administrator) y no hallarse presente el Administrador designado de Base de
Datos, debe utilizarse la cuenta sa, tal como se define en el Procedimiento de
administracin de usuarios de mximos privilegios de la Entidad.
Asociacin entre la cuenta de usuario Administrator y el rol System Administrators
Teniendo en cuenta el esquema de accesos establecido precedentemente, debe
eliminarse la asociacin que por defecto realiza SQL Server con la cuenta de usuario
administrator, con el rol System Administrators.
Los nicos usuarios habilitados con el rol mencionado deben ser aquellos que lo
necesiten, como por ejemplo el Administrador de Base de datos.
EDCOM
Pgina # 182
ESPOL

BASES DE DATOS
OBJETIVO
Definir pautas de seguridad para las bases de datos.
CONFIGURACIN DE BASE DE DATOS

Bases de datos de ejemplo
Las bases de datos de ejemplo Pubs y Northwind deben ser eliminadas de los
servidores de produccin dado que representan objetivos conocidos por los atacantes y
con mnimas restricciones.
CRECIMIENTO DE ARCHIVOS
En caso de especificarse que el o los archivos que contienen la base de datos puedan
crecer automticamente, debe restringirse su tamao a un valor mximo a travs de la
opcin Restrict filegrowth, tanto para los datos, como para el log de transacciones.
Debe seleccionarse un valor adecuado para cada base de datos, en funcin al tamao
inicial del archivo y al espacio disponible en disco.
EDCOM
Pgina # 183
ESPOL

OPCIONES DE BASE DE DATOS

Las opciones de cada base de datos deben configurarse como se indica a continuacin:
PAGE VERIFY
Esta opcin debe configurarse en CHECKSUM, a fin de permitir la deteccin
temprana de fallas durante operaciones de lectura/escritura.
Figura 8: Deteccin de fallas de lectura/escritura
ENCRYPTION ENABLED
En caso de el contenido de la base de datos deba ser encriptado (por ej. debido a
requerimientos regulatorios), se debern seguir los pasos detallados en la seccin
Encripcin de Datos del presente documento para su configuracin.
EDCOM
Pgina # 184
ESPOL

ENCRIPTACIN DE DATOS
OBJETIVO
Definir las consideraciones necesarias para la encripcin transparente de los datos en la
instancia (TDE de sus siglas en ingls Transparent Data Encryption).
Descripcin del funcionamiento de la encripcin transparente
El siguiente diagrama presenta la funcionalidad de TDE:
Figura 9: Encriptacin de datos
EDCOM
Pgina # 185
ESPOL
PASOS A SEGUIR
ENCRIPTACIN

PARA
GENERAR
LA
CLAVE
DE
Generar la clave maestra de encripcin. Para ello, ejecutar los siguientes comandos
SQL en el gestor de consultas, reemplazando las variables que contienen signos <>:
USE master;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<PasswordCompleja>';
GO
Generar el certificado del servidor. Para ello ejecutar los siguientes comandos SQL en
el gestor de consultas, reemplazando las variables que contienen signos <>:
CREATE CERTIFICATE <MiCertificadoDeServidor> WITH SUBJECT = '<Mi
Certificado>'
go
Seleccionar la base de datos (esquema) que se desea encriptar y generar la clave de
encripcin. Para ello ejecutar los siguientes comandos SQL en el gestor de consultas,
reemplazando las variables que contienen signos <>:
USE <BaseAplicacion>
GO
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_128
ENCRYPTION BY SERVER CERTIFICATE <MiCertificadoDeServidor>
GO
Activar la encripcin en la base de datos. Para ello ejecutar los siguientes comandos
SQL en el gestor de consultas, reemplazando las variables que contienen signos <>:
ALTER DATABASE <BaseAplicacion>
SET ENCRYPTION ON
GO
EDCOM
Pgina # 186
ESPOL

AUDITORA DE EVEN TOS

OBJETIVO
Definir las consideraciones necesarias para la generacin de los registros de auditora.
AUDITOR DE EVENTOS
Se debern configurar los parmetros de auditora de la base de datos, de acuerdo a lo
establecido en el Estndar de configuracin de clientes para el registro de LOGs de
Banco.
EDCOM
Pgina # 187
ESPOL

CONSIDERACIONES ADICIONALES DE SEGURIDAD

OBJETIVO
Definir pautas adicionales de seguridad.
CONEXIN PARA SERVIDORES EXTERNOS

En caso de requerirse vnculos con servidores SQL ubicados fuera de la red interna (por
ejemplo servidores de la DMZ), el sentido de la comunicacin deber realizarse desde
el servidor interno hacia el externo (conexin saliente).
No debern utilizarse conexiones entrantes desde bases de datos externas hacia bases
de datos internas. Dichas conexiones deben impedirse en el dispositivo de control de
acceso (firewall), a fin de evitar riesgos originados en la exposicin del servidor y la
red interna del banco.
EDCOM
Pgina # 188
ESPOL

ESTNDAR DE SEGURIDAD
INFORMATION SERVICES 7
PARA
INTERNET
OBJETIVO
Definir las medidas necesarias para implementar el esquema de seguridad en el
ambiente de servidores Web Microsoft Internet Information Services (IIS) versin 7,
segn la normativa de Seguridad de la Informacin.
mbito de Aplicacin
Todos los servidores Web de Banco que brinden servicio Web basado en Internet
Information Services 7 (IIS), los cuales pertenezcan al entorno de produccin de la
Entidad.
Normativa Marco (Normativas Superior de Referencia)
PC.POL.1 - Poltica General de Seguridad de la Informacin
Normativa Derogada
Ninguna.
Otras Normativas Asociadas
Ninguna.
Vigencia
Este estndar de configuracin entrar en vigencia a partir de Marzo de 2011.
Disposiciones Generales y Transitorias
Seguridad Informtica de Banco. Los resultados de la revisin, y los cambios que se
sucedan, sern reportados al Comit de Seguridad de la Informacin y comunicados a
los involucrados antes de ser implementados.
La falta de cumplimiento de las definiciones descriptas en el presente estndar, estar
sujeta a las sanciones disciplinarias que amerite cada caso.
EDCOM
Pgina # 189
ESPOL

Roles y Responsabilidades
Seguridad Informtica:
Responsable de Seguridad Informtica: Tendr a su cargo el mantenimiento del
presente estndar, junto con las tareas de verificacin del cumplimiento del mismo.
Gerencia de Sistemas:
Gerente de Sistemas: Deber garantizar que los funcionarios del rea de sistemas,
encargados de realizar la administracin de los servidores Web, implementen los
estndares de configuracin definidos en forma efectiva y oportuna.
Administradores y Operadores de la plataforma: Sern encargados de implementar el
presente estndar, siguiendo los lineamientos y tareas mencionadas en el mismo.
Asimismo, debern informar al Gerente de Sistemas sobre las configuraciones de
seguridad que no puedan ser implementadas por restricciones tcnicas y/o de negocio,
las cuales debern quedar adecuadamente documentadas.
EDCOM
Pgina # 190
ESPOL

CONSIDERACIONES
OPERATIVO
GENERALES
DEL
SISTEMA
OBJETIVO
Definir las consideraciones de seguridad necesarias para el correcto funcionamiento de
la plataforma Microsoft Windows 2008 sobre la cual se encuentra instalado el servicio
Internet Information Services.
Seguridad a nivel de sistema operativo Windows 2008
Se deber configurar la plataforma Microsoft Windows 2008 de acuerdo a los
parmetros definidos en el Estndar de Seguridad para Microsoft Windows 2008 de
Banco.
Cuentas de usuario creadas por defecto en la instalacin
Durante la instalacin de IIS se crea por defecto una cuenta integrada, garantizada por
el sistema operativo para tener siempre un SID nico. El nombre real que es utilizado
para la nueva cuenta nunca ser localizado. Por ejemplo, independientemente del
idioma de Windows que se instala, el nombre de cuenta de IIS siempre ser IUSR. Esto
le indica a IIS utilizar la nueva cuenta integrada para todas las solicitudes de
autenticacin annima.
La cuenta IUSR sustituye a la cuenta IUSR_MachineName de IIS 6 (donde
MachineName es el nombre del equipo donde reside IIS). La cuenta
IUSR_MachineName seguir siendo creada y utilizada si se instala el servidor FTP 6
compatibles que se incluye en Windows Server 2008. Si no instala el servidor FTP que
se incluye con Windows Server 2008, esta cuenta no se crear.
Asimismo, esta versin de IIS utiliza varias cuentas de usuarios propias del sistema
operativo, estas son:
Local System: Esta cuenta tiene por defecto permisos de Full access. Es parte
del grupo de administradores locales con alto nivel de permisos de acceso. Si un
proceso de trabajo se ejecuta con la cuenta de usuario Local System, entonces
este proceso tendr acceso full al sistema.
Network Service: Esta cuenta de usuario negocia con otro sistema teniendo
credenciales de la cuenta de la computadora. Tiene menos permisos que Local
System sobre el sistema.
EDCOM
Pgina # 191
ESPOL

Local Service: Esta cuenta de usuario tiene menos privilegios que Network
Service y limita los permisos de usuario solo a la computadora local. La misma
es utilizada por procesos que no requieren acceso a servidores externos.
A fin de reforzar la seguridad del servicio Web, y segn corresponda, debern
implementarse las siguientes consideraciones de seguridad:
En caso de ser requerido el acceso annimo, dichas cuentas debern estar definidas a
nivel local en el equipo (No debern utilizarse cuentas de dominio), No deber
permitirse el cambio de las contraseas de las mismas y la contrasea No deber
expirar, segn se muestra en la siguiente figura:
Figura 10: Creacin de cuentas de usuario

La cuenta de usuario IUSR_MachineName que se crea si se instala ser servidor de FTP
6, debe ser renombrada con el objetivo de eliminar todo tipo de configuraciones propias
de la instalacin. La nomenclatura a utilizar en la misma es la siguiente:
IUSR_NombreAplicacion_NombreServidor
Para cambiar el nombre de la cuenta de usuario mencionada, se debern ejecutar las
siguientes tareas:
Hacer clic con el botn secundario del mouse en My Computer y, a continuacin,
hacer clic en Manage.
Hacer doble clic en Configuration, luego en Local Users and groups y, a
continuacin, hacer clic en la carpeta Users.
Hacer clic con el botn secundario del mouse en la cuenta IUSR_<NombreEquipo> y,
a continuacin, seleccionar Rename.
Escribir el nuevo nombre y presionar Enter.
EDCOM
Pgina # 192
ESPOL

SEPARACIN DE APLICACIONES EN GRUPOS

Las aplicaciones se pueden separar en grupos. Un grupo de aplicaciones es un grupo de
una o varias direcciones URL que ofrece un proceso de trabajo o un conjunto de ellos.
Estos pueden ayudar a mejorar la confiabilidad del servidor Web, ya que cada
aplicacin funciona de forma independiente con respecto a las dems.
En IIS 7, los grupos de aplicaciones se ejecutan en uno de los siguientes modos: el
modo integrado y el modo clsico. El modo del grupo de aplicaciones afecta a cmo el
servidor procesa las solicitudes de cdigo administrado. Si una aplicacin administrada
se ejecuta en un grupo de aplicaciones con el modo integrado, el servidor utilizar la
arquitectura integrada de procesamiento de solicitudes de IIS y ASP.NET para procesar
la solicitud. Sin embargo, si una aplicacin administrada se ejecuta en un grupo de
aplicaciones con el modo clsico, el servidor seguir a las solicitudes de las rutas de
cdigo administrado a travs de Aspnet_isapi.dll, es decir procesa las solicitudes de la
misma forma que si la aplicacin se ejecutara en IIS 6.0.
La mayora de las aplicaciones administradas se debe ejecutar con xito en grupos de
aplicaciones con el modo integrado, pero puede que tenga que ejecutarse en el modo
clsico por razones de compatibilidad.
Todos los procesos en ejecucin en un sistema operativo Windows disponen de una
identidad, que determina el modo en que el proceso tiene acceso a los recursos del
equipo. Cada grupo de aplicaciones cuenta adems con una identidad de proceso, que
es una cuenta ejecutada con los permisos mnimos que requiere la aplicacin. Esta
identidad de proceso se puede utilizar para permitir el acceso annimo al sitio o a las
aplicaciones Web.
En caso de utilizar Pools de Aplicaciones, debern configurarse para utilizar la cuenta
predefinida NetworkService, si no se requieren privilegios superiores.
Para configurar la identidad para un pool de aplicaciones:
Hacer Clic derecho sobre un pool de aplicaciones;
Seleccionar Advanced Settings en el men contextual;
En la ventana Advanced Settings, seleccionar la seccin ProcessModel;
Seleccionar la opcin Identity y luego hacer clic en el botn que aparece al
lado derecho.
En la ventana que aparece Aplication Pool Identity en la seccin de Built-in
account seleccionar Network Service.
EDCOM
Pgina # 193
ESPOL

DEFINICIN DE GRUPOS
Con el objetivo de organizar y administrar los usuarios relacionados al IIS y asignarle
privilegios a los mismos, se debern crear los siguientes grupos locales y se deber
relacionar a los mismos los usuarios indicados:
Grupo
Miembros
WebAdmins
Usuarios administradores de los sitios.
IIS_IUSRS
Network Service
(Se crea por Local Service
defecto)
LocalSystem
Tabla 0-36: Definicin de Grupos
Por otra parte, la cuenta IUSR_NombreEquipo o IUSR deber quitarse del grupo
Guests.
Finalmente, al grupo creado para las cuentas de servicio de IIS (IIS_IUSRS) y a las
cuentas de usuario de servicio, debern asignrsele los derechos de usuario que se
detallan a continuacin:
Derechos de Usuario
Permisos
Access this computer from the Administrators

network
Users
Backup Operators
Adjust memory quotas for a LOCAL
SERVICE
process
NETWORK
SERVICE
Administrators
EDCOM
Allow log on locally
Administrators
Users
Backup Operators
Bypass traverse checking
LOCAL
SERVICE
NETWORK
SERVICE
Administrators
Users
Pgina # 194
ESPOL

Backup Operators
Impersonate
a
authentication
client
after LOCAL
SERVICE
NETWORK
SERVICE
Administrators
IIS_IUSRS
SERVICE
Administrators
Backup
Operators
Performance
Log
Users
IIS_IUSRS
Replace a process level token
LOCAL
SERVICE
NETWORK
SERVICE
Tabla 0-37: Derechos de Usuarios

Dicha configuracin deber ser aplicada a travs de la utilizacin de polticas de grupo
aplicadas a nivel de la OU Member Servers 2008\Web Servers, en caso de tratarse de
un servidor miembro del dominio, o aplicadas a nivel local en caso de tratarse de un
servidor Stand-Alone.
SERVICIOS REDUCCIN DE LOS COMPONENTES DE

INSTALACIN POR DEFECTO
Junto con el servicio de World Wide Web en IIS estn incluidos otros servicios como
por ejemplo los servicios FTP y SMTP. Es esencial habilitar solamente aquellos
servicios que son requeridos para el normal funcionamiento de la aplicacin y/o sitio
Web que se procesa en el servidor. Teniendo en cuenta que los mismos pueden o no
estar en el listado de servicios del servidor, las configuraciones recomendadas de los
componentes de IIS 7 son las siguientes:
EDCOM
Pgina # 195
ESPOL

Subcomponentes de Internet Information Services (IIS)

Subcomponente
Configuraci Observaciones
n
por
defecto
Background
Deshabilitad Habilitar este componente si un software
Intelligent Transfer o
depende de, por ejemplo Windows
Service (BITS)
Update para aplicacin automtica de
services packs, o instalacin de otro
software en el servidor Web.
Common
Features
HTTP Habilitado
En servidores Web dedicados, estos

archivos son requeridos por IIS.
File Transfer Protocol Deshabilitad Este componente no es utilizado en

(FTP)
o
servidores Web dedicados. Si no es
requerido este servicio, debe quedar
deshabilitado.
IIS
Management Habilitado
Console
Internet Printing
Interfaz de administracin para IIS.

Deshabilitar si el servidor Web no es
administrado localmente.
Deshabilitad
Permite que las impresoras sean
o
compartidas usando HTTP. Si no se
requiere esta caracterstica, debe
permanecer deshabilitado.
IIS 6 Management Deshabilitad Provee

compatibilidad
con
la
Console
o
administracin de componentes de IIS 6,
necesario para la administracin de
SMTP y FTP.
SMTP Service
World Wide
Service
Deshabilitad Soporta la transferencia de correo

o
electrnico. Este componente debe
quedar habilitado en caso de que se
requiera.
Web Habilitado
Provee servicios de Internet, como

contenido esttico y dinmico, a clientes.
Si este componente no esta habilitado,
sus subcomponentes tampoco lo estn.
Tabla 0-38: Servicios
EDCOM
Pgina # 196
ESPOL

CONSIDERACIONES BSICAS DE SEGURIDAD DEL

SERVICIO WEB
OBJETIVO
Detallar las configuraciones bsicas de seguridad comunes a todos los directorios
virtuales y pginas del sitio web.
REDUCCIN DE LOS COMPONENTES DE WORLD WIDE WEB

POR DEFECTO
El servicio de World Wide Web en IIS est compuesto por diversos sub componentes.
Es esencial habilitar solamente aquellos requeridos indefectiblemente por la aplicacin
y/o sitio Web que se procesa en el servidor. A continuacin se detallan las
configuraciones recomendadas de los sub componentes del servicio de World Wide
Web:
Subcomponentes de World Wide Web

Subcompo Configur Observaciones
nente
acin por
defecto
Active
Server
Pages
Deshabilit Provee soporte para ASP. Debe

ado
deshabilitarse este componente cuando no
se necesite su uso. El mismo deber ser
evaluado y en caso de ser requerido,
habilitado.
Manageme Deshabilit Provee conexin para clientes remotos al

nt Service ado
servidor para su administracin. Permite
la restriccin por IP de dichos clientes.
Server
-Side
Includes
Deshabilit Provee soporte para archivos .shtm, .shtml

ado
y .stm. Sino se requiere este componente,
debe permanecer deshabilitado.
Tabla 0-39: Reduccin de los Componentes www

Los sub componentes nombrados pueden ser habilitados o deshabilitados desde la
consola de administracin del servidor en la parte de roles, ya sean dentro o fuera de la
funcionalidad de IIS.
EDCOM
Pgina # 197
ESPOL

SITIO WEB POR DEFECTO

Si bien IIS 7.0 se instala en modo seguro (conocido como locked-down), contiene un
sitio web por defecto y archivos de ejemplo. Se sugiere eliminar todos los archivos y
carpetas por defecto que se hereden de la instalacin.
El sitio web por defecto es Default Web Site y su directorio raz es %systemdrive
%\inetpub\wwwroot.
COMPONENTE FILESYSTEMOBJECT(FSO)
Este componente proporciona mtodos y propiedades para trabajar con unidades,
carpetas y ficheros. Si no se requiere utilizar estas caractersticas, se deber deshabilitar
este componente.
Para deshabilitar este componente:
Abrir la ventana del Command Prompt;
Localizar el directorio %windir%\system32;
Escribir regsvr32 scrrun.dll /u y presionar Enter. Aparecer el siguiente
mensaje DllUnregisterServer un scrrun.dll suceded;

Clic OK;
Renombrar el archivo scrrun.dll con el nombre scrrun_dll.bak.
Permisos sobre los archives de configuracin
IIS 7.0 incluye un nuevo sistema de configuracin. La metabase XML ya no se
utiliza. La raz del
applicationHost.config
archivo
de
configuracin
de
IIS
7.0
es
Dado que dicho archivo es sensitivo, se deber velar por la seguridad del mismo a
partir del cumplimiento de los siguientes lineamientos:
Se debern realizar copias de seguridad del mismo;
Solo los miembros del grupo Administradores y LocalSystem deben tener
permisos de acceso Full sobre este archivo.
Nota: El archivo se almacena
Windows\System32\inetsrv\config.
EDCOM
en
la
Pgina # 198
siguiente
ruta
%SystemDrive%\
ESPOL

IIS 7.0 tambin incluye la caracterstica de compatibilidad de metabase (un servicio de

funcin opcional) que permite a los usuarios modificar las configuraciones de IIS 7.0
con la estructura clsica de la metabase en IIS 6.0 o 5.x (por ejemplo: a travs de WMI
o ADSI).
Para obtener informacin detallada acerca de IIS 7.0 nuevo sistema de configuracin,
puede referirse a:
http://learn.iis.net/page.aspx/122/getting-started-with-iis-7-configuration/
PERMISOS DE ACCESO A DIRECTORIOS

UBICACIN Y DEFINICIN DE PERMISOS PARA ARCHIVOS
DE de IIS
Con el fin de aumentar la seguridad de los archivos de IIS, se debern implementar los
siguientes lineamientos mnimos de configuracin:
Todas las particiones de disco del servidor debern estar en formato NTFS, a fin de
permitir la adecuada aplicacin de permisos de acceso.
Los archivos de sistema y los archivos propios del sitio Web debern alojarse en
particiones separadas.
CONFIGURACIN DE LISTAS DE CONTROL DE ACCESO (ACL)

Asimismo, a fin de reforzar los permisos de acceso a los archivos de configuracin del
servicio WEB y/o a los archivos de las pginas publicadas, se debern implementar
permisos de acceso sobre estos servicios y/o archivos.
Con la instalacin del IIS se asignan los siguientes permisos al grupo IIS_IUSRS,
sobre los siguientes directorios involucrados:
Ubicacin
Configuracin
Descripcin
%SystemDrive
Full Control
%\inetpub\temp\IIS
Temporary Compressed
Files
Acceso al
compresin
Directorio de publicacin
Read & Execute
Acceso al directorio raz para

el contenido Web.
%windir
%\System32\Inetsrv\Met
NT
AUTHORITY\SYSTE
Almacena los datos de la

configuracin de los servicios
EDCOM
Pgina # 199
directorio
de
ESPOL

Ubicacin
Configuracin
Descripcin
aBase.xml
M: Full control
BUILTIN\Administrato
rs: Full control
WebAdmins: Modify
del IIS.
%windir
%\System32\Inetsrv\MB
Schema.xml
NT
AUTHORITY\SYSTE
M : Full control
rs : Full control
WebAdmins: Modify
Almacena el esquema para los

archivos de configuracin. El
esquema
define
que
propiedades del IIS son
configuradas a ciertas claves de
la metabase.
%windir
%\System32\Inetsrv\Hist
ory
NT
AUTHORITY\SYSTE
M : Full control
rs : Full control
WebAdmins: Modify
Almacena los archivos del

historial de la metabase que
son creadas automticamente
por el IIS.
%windir
%\System32\Inetsrv\Met
aBack
NT
AUTHORITY\SYSTE
M : Full control
rs : Full control
WebAdmins: Modify
Almacena los archivos de

backup de la metabase, que son
creados bajo demanda por la
configuracin
de
Backup/Restore.
Tabla 0-40: Permiso de Acceso a Directorios

Asimismo, se debern definir los permisos mnimos requeridos en el filesystem para
restringir el acceso a los archivos utilizados a travs de IIS. El esquema bsico que
deber ser evaluado se presenta a continuacin:
EDCOM
Tipos de archivos
Permisos NTFS
Archivos CGI
(.exe, .dll, .cmd, .pl)
IIS_IUSRS (execute)
Administrators (full control)
System (full control)
WebAdmins (Modify)
Pgina # 200
ESPOL

Tipos de archivos
Permisos NTFS
Archivos de Script
(.asp)
IIS_IUSRS (execute)
WebAdmins (Modify)
Archivos de Include
(.inc, .shtm, .shtml)
IIS_IUSRS (execute)
WebAdmins (Modify)
Archivos de contenido esttico

(.txt, .gif, .jpg, .htm, .html)
IIS_IUSRS (read-only)
WebAdmins (Modify)
Tabla 0-41: Permiso de Acceso a Directorios
CONFIGURACIN DE CONTENIDO DINMICO

Luego de instalar IIS 7, por defecto solo se permitir resolver peticiones de contenido
esttico. En caso de que la aplicacin y/o Sitio Web requiera resolver pedidos de
contenido dinmico, se debern tener en cuenta que se debe activar dicho contenido
desde Add Role Services de IIS 7.
CONFIGURACIN DEL REGISTRO DE WINDOWS

En el registro de Windows (Registry) se pueden configurar ciertas opciones extras que
aumentan la seguridad del IIS 7. Estas opciones, en general, se encuentran
correctamente configuradas en las instalaciones por defecto pudiendo aparecer
explcitamente o no en el registro de sistema de windows. No obstante deben
verificarse las siguientes opciones:
EnableTraceMethod
Registry
Path:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Paramete
rs
Data Type: REG_DWORD
Default Value: 0 (disabled)
Range: 0 1
Determina si IIS reconoce el mtodo HTTP TRACE
EDCOM
Pgina # 201
ESPOL

EnableTraceMethod
Registry
Path:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Paramete
rs
AlwaysLogEvents
Registry Path: HKLM\System\CurrentControlSet\Services\WAS\Parameters
Default Value: 0 (disabled)
Range: 0 1
Determina la grabacin de actividades errneas en el archivo log
EnableLogging
Registry Path: HKLM\SOFTWARE\Microsoft\WebManagement\Server
Default Value: 1 (enabled)
Range: 0 1
Determina la grabacin de actividades exitosas en el archivo log
Tabla 0-42: Configuracin del Registro de Windows
COMPATIBILIDAD CON VERSIONES ANTERIORES DE IID

Si en IIS 7 es necesario trabajar con caractersticas de IIS 6 se debe habilitar dicha
compatibilidad en los Servicios del Rol de IIS.
CONFIGURACIN DE URLSCAN 3.1

URLScan es un filtro ISAPI que bloquea solicitudes HTTP basadas en un conjunto de
reglas susceptible de ser configurado. Por ejemplo, puede configurar URLScan para
que bloquee todas las solicitudes efectuadas en relacin con una determinada extensin
de nombre de archivo, para que bloquee ciertos verbos HTTP (como GET o POST), o
para que bloquee solicitudes que contengan caracteres frecuentemente incluidos en
ataques a servidores Web.
Si se determina que por cuestiones de simplicidad en la administracin se debe utilizar
URLScan, se deber considerar que:
UrlScan 3.1 no est incluido dentro del producto IIS 7. Al momento de requerir
la instalacin del mismo, se deber obtener desde la pgina oficial del
proveedor antes de proceder a la instalacin y configuracin del mismo.
Aplicaciones como Exchange, FPSE y Microsoft Visual Studio .NET dependen
de IIS para la funcionalidad correcta. Si URLScan no se configura
correctamente, estas aplicaciones pueden dejar de funcionar correctamente.
EDCOM
Pgina # 202
ESPOL

UrlScan versin 3.1 mantiene caractersticas y funcionalidad de su predecesor

(UrlScan versin 2.5). El formato de configuracin es el mismo, pero incluye
algunas secciones adicionales que se pueden utilizar para las nuevas
caractersticas. Si actualmente est usando UrlScan versin 2.5, puede utilizar el
mismo archivo de configuracin con Urlscan.ini UrlScan versin 3.1.
CONFIGURACIN DE LAS PROPIEDADES GENERALES DE

LOS SITIOS WEB
A continuacin se detallan las Propiedades de configuracin que deben ser aplicadas
por defecto a todos los sitios Web.
OPCIN AUTENTICACIN
No se deber aplicar un esquema de autenticacin. A este nivel se deber utilizar el
esquema basado en accesos annimos nicamente.
Figura 111: Autenticacin de usuarios

OPCIN DEFAULT DOCUMENT
Se recomienda que el administrador proporcione siempre un documento por defecto, el
que todos los usuarios vern al tener acceso a los sitios. Esto ayuda a evitar la
exhibicin de la estructura del directorio del sitio a un usuario.
Por lo tanto dicha opcin debe estar habilitada.
EDCOM
Pgina # 203
ESPOL

Figura 112: Sitio Web predeterminado
OPCIN DIRECTORY BROWSING

Esta opcin muestra informacin cuando se lista un directorio. Dicha opcin debe estar
deshabilitada.
EDCOM
Pgina # 204
ESPOL

Figura 113: Buscador de directorio
OPCIN ERROR PAGE
Figura 14: Errores de Pginas

Una de las principales fuentes de informacin utilizadas por los atacantes para vulnerar
la seguridad de los sitios Web, son los mensajes de error presentados por los
componentes de infraestructura y aplicaciones. Dichos mensajes son comnmente
utilizados para comprender la naturaleza de la infraestructura utilizada por la vctima y
de aqu planificar nuevos ataque de mayor impacto. Debido a ello, las mejores prcticas
de seguridad para sitios web establecen que los mensajes de error presentados a los
EDCOM
Pgina # 205
ESPOL

usuarios finales no deben ser descriptivos y/o contener informacin de las plataformas
y versiones de software utilizadas.
Seleccionando la opcin de Error Pages podremos cambiar la configuracin de las
pginas por defecto que se presentan al usuario cada vez que ocurre un error en el
servicio Web. Las mismas debern ser establecidas de acuerdo a los criterios
mencionados anteriormente, evitando divulgar informacin alguna de la plataforma o
tipo de error. Por ejemplo se podr presentar la siguiente leyenda:
Se ha detectado un error en la aplicacin, por favor sepa disculpar las molestias
Los mensajes de error personalizados debern ser almacenados dentro de la nueva
ubicacin (diferente a la de sistema operativo) del sitio web por defecto y debern ser
comunes para todos los directorios virtuales del sitio web.
OPCIN LOGGING
En todos los servidores Web ser mandatario que la auditora se encuentre habilitada.
Para activar las pistas de auditora (LOGs) se debe tener habilitada esta opcin.
Se deber configurar un log por servidor en formato W3C. As mismo, en la lista
desplegable que se activa al hacer click en el botn Select Fields se debern
seleccionar los siguientes componentes.
Client IP Address
User Name
Service Name
Method
URI Stem
URI Query
Win32 Status
User Agent
Server IP Address
Server Port
Las opciones restantes debern quedar configuradas con los valores otorgados al
momento de la instalacin, como se muestra en la siguiente figura:
EDCOM
Pgina # 206
ESPOL

Figura 15: Configuracin del web server
EDCOM
Pgina # 207
ESPOL
CONSIDERACIONES
SERVICIO WEB

AVANZADAS
DE
SEGURIDAD
DEL
Luego de implementar las consideraciones mnimas de seguridad detalladas en las

secciones anteriores, las cuales aplican a todos los sitios Web publicados en el servidor,
se debern aplicar las configuraciones avanzadas detalladas en esta seccin.
Deber considerarse que dichas configuraciones aplican a cada uno de los sitios
virtuales definidos, dependiendo de los requerimientos especficos de seguridad del
servicio brindado.
Las configuraciones detalladas a continuacin debern aplicarse utilizando la consola
de administracin de IIS, modificando las propiedades de los sitios Web y directorios
virtuales definidos en la seccin Sites de dicha consola.
CONFIGURACIN DE LAS PROPIEDADES ESPECFICAS DE

LOS SITIOS WEB
A continuacin se detallan las Propiedades de configuracin adicionales, que debern
ser configuradas a nivel de cada sitio virtual (Virtual Host), dependiendo de las
caractersticas del servicio brindado. Estas configuraciones complementan el esquema
bsico presentado en la seccin anterior.
Para editar estas configuraciones se debe situar en el sitio virtual y escoger las opciones
del panel de la derecha bajo el titulo de IIS:
Opcin Default Document:
En cada caso deber especificarse el documento por defecto que se presentar al
usuario al acceder al sitio Web. Por ejemplo index.asp.
Figura 16: Configuracin de las propiedades de los sitios web

EDCOM
Pgina # 208
ESPOL

OPCIN ADVANCED SETTINGS VIRTUAL DIRECTORY

Complementando la configuracin establecida a nivel general, para cada Virtual Host
se debern considerar las siguientes opciones de configuracin:
El path local indica la ubicacin donde residirn todas las pginas albergadas por el
directorio virtual, el mismo deber ser local y diferir respecto del path de instalacin
del sistema operativo. Su configuracin ser la +siguiente:
<UNIDAD>:\inetpub\wwwroot\<virtual host>
Figura 17: Definicin del sitio a albergarse las pginas
OPCIN HANDLER MAPPINGS

En esta opcin establecer las extensiones de pginas dinmicas que aceptar el
directorio virtual, eliminando todas aquellas no requeridas. Como se muestra en la
siguiente figura:
EDCOM
Pgina # 209
ESPOL

Figura 18: Establecer las extenciones de pginas dinmicas
OPCIN AUTHENTICATION
Con el objetivo de realizar un acceso seguro a los recursos del servidor Web, se deber
definir cul es el tipo de autenticacin que el mismo requerir soportar. En este aspecto
deber aplicarse alguna de las configuraciones que se presentan a continuacin
dependiendo del servicio que se est brindando:
ACCESO ANNIMO
A ser utilizado en casos donde no se requiera autenticacin para acceder a las pginas
publicadas, como en el caso de servidores pblicos o internos que utilicen controles de
acceso a nivel de formularios aplicativos.
Esta opcin podr ser seleccionada para servidores Web pblicos.
Acceso Restringido:
Autenticacin integrada con Windows: A ser utilizado en el caso de servidores Web que
soportan servicios internos, los cuales utilizan controles de acceso a archivos a partir de
listas de control de accesos NTFS.
En servidores pblicos deber evitarse la utilizacin de autenticacin integrada de
Windows, dado que la misma podra ser utilizada por un potencial atacante para
realizar ataques del tipo Fuerza Bruta.
EDCOM
Pgina # 210
ESPOL

Siempre que se trate de un servidor pblico y se requiera autenticacin, se deber

priorizar la autenticacin basada en formularios de aplicacin y no mtodos propios del
servicio Web.
OPCIN IPv4 ADDRESS AND DOMAIN RESTRICTIONS

Debern aplicarse las reglas de filtrado requeridas por el servicio prestado. Este tipo de
reglas no pueden ser numeradas ya que dependen de caractersticas dinmicas de cada
servicio y debern ser evaluadas en cada caso.
En IIS 7, todas las direcciones IP (Protocolo de Internet), equipos y dominios pueden
obtener acceso a su sitio de forma predeterminada. Para mejorar la seguridad, puede
limitar el acceso a su sitio creando una regla de permiso que conceda acceso a todas las
direcciones IP (valor predeterminado), a una direccin IP especfica, a un intervalo de
direcciones IP o a un dominio concreto. Por ejemplo, si tiene un sitio en un servidor de
intranet que est conectado a Internet, puede impedir que los usuarios de Internet
obtengan acceso al sitio de la intranet permitiendo slo el acceso a los miembros de su
Intranet.
Los procedimientos para configurar el acceso a contenido basndose en las reglas de
direcciones IP y nombres de dominio se pueden realizar en los siguientes niveles de
IIS:
Servidor web
Sitio
Aplicacin
Directorios fsicos y virtuales
Archivo (direccin URL)
Se requiere que el siguiente mdulo este habilitado:
IpRestrictionModule
El mismo que es habilitado cuando en los Servicios del Rol de IIS en la parte de
seguridad se habilita la opcin Ip and Domain Restrictions.
Los pasos para habilitar esta opcin son:
Abra el Administrador de IIS y navegue hasta el nivel que desee administrar.
En Features View, haga doble clic en IPv4 Address and Domain Restrictions.
EDCOM
Pgina # 211
ESPOL

En el panel Actions, haga clic en Add Allow Entry.

En el cuadro de dilogo Add Allow Restriction Rule, seleccione Specific Ipv4
address, Ipv4 address range o Domain Name, agregue la direccin IPv4,
intervalo, mscara o nombre de dominio y, a continuacin, haga clic en Aceptar.
Para agregar nombres de dominio, debe habilitar primero las restricciones de
nombre de dominio haciendo clic en Edit Feature Settings en el panel Actions y,
a continuacin, seleccionando Enable domain name restrictions en el cuadro de
dilogo Edit IP and Domain Restrictions Settings.
OPCIN AUTHORIZATION RULES

Se puede conceder o denegar el acceso de dominios, grupos de equipos o equipos
concretos a sitios, aplicaciones, directorios o archivos de su servidor. Por ejemplo, su
servidor de intranet hospeda contenido que est disponible para todos los empleados,
adems del contenido que deberan ver slo los miembros de grupos concretos, como
Finanzas o Recursos humanos. Al configurar las reglas de autorizacin de direcciones
URL, puede evitar que empleados que no sean miembros de esos grupos especificados
obtengan acceso al contenido restringido.
Los procedimientos para configurar las reglas de la autorizacin de direcciones URL se
pueden realizar en los siguientes niveles de IIS:
Servidor web
Sitio
Aplicacin
Archivo (direccin URL)
Se requiere que el siguiente mdulo este habilitado:
UrlAuthorizationModule
El mismo que es habilitado cuando en los Servicios del Rol de IIS en la parte de
seguridad se habilita la opcin URL Authorizations.
OPCIONES ERROR PAGES Y DIRECTORY BROWSING

Estas secciones podrn quedar configuradas por defecto a menos que por temas
operativos se deban aplicar configuraciones especficas.
EDCOM
Pgina # 212
ESPOL

CONSIDERACIONES
SERVICIO FTP
DE
SEGURIDAD
SOBRE
EL
Como parte de los servicios incluidos en el producto IIS 7 se incluye un servidor FTP
(File Transfer Protocolo) bsico, el cual presenta limitadas caractersticas de seguridad,
principalmente en relacin a la ausencia de mecanismos de encripcin del canal de
comunicaciones cliente servidor, y al pobre esquema de autenticacin brindado. Debido
a ello, se debern tomar en cuenta las siguientes consideraciones generales:
Siempre que sea posible se deber deshabilitar el servicio;
En caso de requerir el servicio FTP en servidores pblicos, se deber estudiar la
posibilidad de utilizar algn producto software alternativo que permita
implementar SFTP (FTP con encripcin SSL);
Ser recomendable configurar el servidor FTP de forma tal que se prohba la
escritura de archivos en el mismo;
En caso que sea necesario escribir archivos en el servidor, se deber crear un
directorio independiente en el cual se alojarn los nuevos documentos.
Sin embargo, en caso de ser requerido el servicio FTP provisto por el producto
IIS 7, el mismo deber ser configurado siguiendo los lineamientos presentados a
continuacin.
Cabe recalcar que para poder administrar este servicio se debe tener instalada la
compatibilidad con la consola administrativa de IIS 6.
SOLAPA FTP SITE (SITIOS FTP)

En primer lugar se deber configurar la informacin de identificacin del sitio FTP, el
nmero de conexiones y el tiempo de expiracin de las sesiones inactivas, entre otros
parmetros generales.
En esta seccin debern implementarse los siguientes lineamientos de configuracin:
Puerto TCP: Siempre que sea posible se deber modificar el puerto por defecto
asignado a este servicio (puerto 21), utilizando el puerto 2121 para la prestacin del
mismo.
Auditoria: Se deber habilitar la auditora tildando la opcin Enable Logging y
seleccionando el formato de LOGs con formato W3C Extended Log File Format".
Lmite de conexiones concurrentes: El nmero mximo de sesiones concurrentes
permitidas deber estar limitado para acotar el impacto de posibles ataques de
denegacin de servicio. Si bien este valor depender de la funcin y el
dimensionamiento del servicio, el mismo no deber ser mayor a 500 conexiones
EDCOM
Pgina # 213
ESPOL

concurrentes.
Tiempo de expiracin de las sesiones: Se deber establecer un tiempo menor a 30
minutos para la expiracin de sesiones inactivas. Preferentemente, y en caso de ser
factible, dicho valor deber estar definido en 10 minutos (600 segundos).
La siguiente figura muestra la configuracin discutida previamente:
Figura 19: Configuracin del servicio FTP

Aquellos valores que no han sido especificados podrn adoptar el valor ms
conveniente de acuerdo al criterio del administrador de la plataforma y/o a la naturaleza
del servicio.
SOLAPA SECURITY ACCOUNTS (CUENTAS DE SEGURIDAD)

EDCOM
Pgina # 214
ESPOL

Esta solapa permite configurar si el servicio FTP podr o no aceptar conexiones

annimas, en la misma se deber, siempre que sea posible, deshabilitar la opcin
Allow Anonymous Connections, ya que la misma permite ingresar al servicio y
consultar informacin sin tener un usuario ni contrasea vlidos.
SOLAPA MESSAGES (MENSAJES)

Existen 3 tipos de mensajes que se pueden mostrar al usuario, estos son: Mensaje de
inicio de sesin, Mensaje de salida y Mensaje de cantidad mxima de conexiones.
Dado que este tipo de mensajes podra brindar informacin del producto utilizado a un
potencial atacante, en todos los casos se recomienda presentar mensajes donde no se
indiquen datos sensibles del servicio como ser: versin del sistema operativo, datos del
responsable del sitio, etc.
Siempre que sea posible se debern implementar los siguientes mensajes:
Banner: Welcome / Bienvenido.
Welcome: ADVERTENCIA: El uso de este sistema est restringido solamente
a personal autorizado. Todo otro uso del mismo ser penado de acuerdo a las
polticas vigentes de la Compaa o a la legislacin vigente en el pas. Ante
cualquier inconveniente comunicarse con Seguridad Informtica. Muchas
gracias..
Exit: La sesin ha finalizado. Muchas gracias por utilizar el servicio.
Maximum Connections: Ha ocurrido un error. Por favor contacte al
departamento de Seguridad Informtica.
SOLAPA HOME DIRECTORY (DIRECTORIO RAIZ)

En esta solapa se configurarn los permisos de acceso al directorio FTP, as como la
ubicacin del mismo.
Este directorio deber, siempre que se pueda, contemplar los siguientes criterios:
La carpeta en la cual se alojarn los archivos y carpetas utilizadas por el
servicio FTP, deber estar definida a nivel local.
No debe localizarse en la misma unidad que el sistema operativo del servidor.
Solo debe tener acceso de lectura.
Si se requiere que los usuarios realicen Uploads de archivos, se debern crear
dos directorios en el directorio del ftproot. Uno, solamente con acceso de
lectura a los archivos que estn disponibles para una transferencia directa, y uno
con permisos de escritura solamente para el Upload de archivos.
EDCOM
Pgina # 215
ESPOL

Figura 20: Configuracin de permisos de acceso del directorio FTP
SOLAPA DIRECTORY
SIRECTORIOS)
SECURITY
(SEGURIDAD
DE
Esta solapa permitir establecer filtros de acceso basados en la utilizacin de

direcciones IP de origen. Dichos filtros debern ser establecidos contemplando que
siempre que se pueda se deber permitir el acceso nicamente a aquellos usuarios
que requieran acceder al servicio (Por ejemplo IPs de los administradores).
EDCOM
Pgina # 216
ESPOL

CONSIDERACIONES
SERVICIO SMTP
DE
SEGURIDAD
SOBRE
EL
El servidor SMTP no est instalado de forma predeterminada. SMTP se puede agregar a

travs del rea Resumen Caractersticas de la herramienta Administrador de servidores
en Windows Server 2008.
Al igual que en el caso del servicio FTP, en caso de no ser necesaria la utilizacin de
este servicio, no se debe instalar. Caso contrario, el mismo deber ser configurado
siguiendo las correspondientes instrucciones.
A continuacin se detallan las configuraciones que deben realizarse en las propiedades
del servicio SMTP (Default SMTP Virtual Server Properties), para mitigar ciertos
riesgos asociados con el mismo.
Cabe recalcar que para poder administrar este servicio se debe tener instalada la
compatibilidad con la consola administrativa de IIS 6.
SOLAPA GENERAL
En esta solapa se muestran las opciones generales del servidor SMTP, como ser la
interfaz de red a travs de la cual atender las peticiones de los usuarios y las opciones
de auditora.
En esta seccin se debern configurar los siguientes aspectos:
Habilitar la auditoria. Para eso debe estar seleccionada la opcin de Enable
Logging;
Definir el tipo de LOG a generar, seleccionando el formato de LOGs con
formato W3C Extended Log File Format";
Establecer el tiempo mximo para desconexin de sesiones inactivas en 10
minutos;
Limitar el nmero de sesiones concurrentes de ser posible a 50 conexiones,
aunque dicho valor podr ser adaptado de acuerdo a los requerimientos del
servicio.
EDCOM
Pgina # 217
ESPOL

Figura 21: Configuracin del servicio SMTP
SOLAPA ACCESS (ACCESO)

En esta seccin se establecen aspectos de configuracin relativos al control de accesos
como ser:
Control de acceso
Seguridad del canal de comunicaciones
Control de conexiones
Restricciones de Relay
A continuacin se profundizan los valores recomendados para cada uno de los aspectos
mencionados.
EDCOM
Pgina # 218
ESPOL

CONTROLES DE ACCESO
Las opciones de autenticacin de SMTP son similares a las presentadas para el servicio
HTTP.
Siempre que sea posible se deber evitar el acceso annimo debiendo seleccionarse
autenticacin Bsica con TLS o autenticacin integrada a Windows Windows
Security Package
SEGURIDAD EN LAS COMUNICACIONES

IIS cuenta con TLS (Transfer Layer Security) como medio para establecer conexiones
encriptadas. Siempre que sea posible se deber seleccionar Require secure channel y
Require 128-bit encryption, de acuerdo a la siguiente figura:
Figura 22: Configuracin de acceso
CONTROL DE CONEXIONES
Se deben definir, en el caso que existan, restricciones de IP o Nombres de Dominio al
servidor SMTP, para mitigar el riesgo de acceso y utilizacin del servicio por parte de
personal no autorizado.
RESTRICCIONES DE RELAY
Se deber permitir el Relay nicamente a servidores preestablecidos, los cuales
debern ser listados en la seccin Relay Restrictions por direccin IP.
As mismo, la opcin Allow all computers which successfully authenticate to relay,
regardless of the list above, deber quedar deshabilitada.
EDCOM
Pgina # 219
ESPOL

SOLAPA MESSAGES (MENSAJES)

Esta solapa nos brinda la posibilidad de configurar el tamao de los mensajes, la
cantidad mxima de peticiones admitidas por el servidor. Los valores deben ser
establecidos de acuerdo a los requerimientos del servicio.
SOLAPA DELIVERY (ENTREGA)

En caso que se requiera activar la autenticacin para mensajes salientes, se deber
acceder a esta solapa para seleccionar uno de los mtodos de autenticacin disponibles.
Siempre que sea posible se deber evitar el acceso annimo debiendo seleccionarse
autenticacin Bsica con TLS o autenticacin integrada a Windows Windows
Security Package
SOLAPA SECURITY (SEGURIDAD)

Esta seccin permite definir los grupos de usuarios responsables de administrar el
servicio. A tal fin se deber crear un grupo local llamado SMTPAdmins al cual se
debern asociar los usuarios habilitados para realizar tareas administrativas.
Dicho grupo deber ser incluido en la seccin Security para delegar los privilegios de
administracin sobre el servicio junto con el grupo local Administrators o
Administradores.
Se debe definir correctamente el grupo de operadores que tienen permisos full sobre el
servidor SMTP. Adicionalmente se debe incluir el grupo Administrators, LOCAL
SERVICE y NETWORK SERVICE.
EDCOM
Pgina # 220
ESPOL

Figura 23: Configuracin del servicio SMTP
DOCUMENTACIN DE REFERENCIA
Especificacin de servicios, grupos especiales y derechos de usuarios asignados
http://technet.microsoft.com/en-us/library/ms143504.aspx
Encripcin transparente de datos (TDE)
http://technet.microsoft.com/en-us/library/bb934049.aspx#Mtps_DropDownFilterText
Auditora de datos
http://technet.microsoft.com/en-us/library/cc280663.aspx
EDCOM
Pgina # 221
ESPOL

Implementación de Un SGSI Sobre Un Sitio de Comercio Electrónico para Una Nueva Institución Banca

Diunggah oleh

Informasi Dokumen

Judul Asli

Hak Cipta

Format Tersedia

Bagikan dokumen Ini

Bagikan atau Tanam Dokumen

Opsi Berbagi

Apakah menurut Anda dokumen ini bermanfaat?

Apakah konten ini tidak pantas?

Hak Cipta:

Format Tersedia

Implementación de Un SGSI Sobre Un Sitio de Comercio Electrónico para Una Nueva Institución Banca

Diunggah oleh

Hak Cipta:

Format Tersedia

ESCUELA SUPERIOR POLITCNICA DEL LITORAL

ESCUELA DE DISEO Y COMUNICACIN VISUAL

Marcel Len Lafebr

Dedicamos este logro a nuestros padres, hermanos y allegados que estuvieron

Marcel Len Lafebr

Los autores nos responsabilizamos por el anlisis, estudio y las conclusiones

FIRMA EL DIRECTOR DEL PROYECTO Y MIEMBRO

Ing. Vctor Muoz Chachapoya

Mae. Enrique Salazar Meza

FIRMA DE LOS AUTORES DEL PROYECTO

Marcel Len Lafebr

Evelyn Mota Orrala

Joffre Navarrete Zambrano

El presente documento contiene la informacin tcnica de la revisin de las seguridades

CONTROL DEL DOCUMENTO

Depuracin del captulo de

Verificacin general del

3.ALCANCE DEL PROYECTO.................................................................................................................

3.1.ALCANCE A ALTO NIVEL

5.9.1.FRECUENCIA DE OCURRENCIA DE LAS AMENAZAS

ESTANDAR DE SEGURIDAD PARA WINDOWS 2003 SERVER.........................................................

CONFIGURACIN DE SQL SERVER AGENT.......................................................................................

5-1: Identificacin de Activos....................................................26

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

En la actualidad, las principales instituciones financieras del Ecuador tienen la

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

Implementar un SGSI para un sitio transaccional de comercio electrnico de una nueva

Determinacin del alcance y poltica de seguridad.

Determinacin del valor de los activos.

implementar los controles.

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

Es conocido como "crculo de Deming" por Edwards Deming, es una estrategia de

Figura 2-1: PDCA

LA GESTIN POR PROCESOS

Es la forma de gestionar toda la organizacin basndose en los Procesos. Entendiendo

Organizacin Internacional de Normalizacin. Organismo encargado de promover el

Se considera informacin a los diferentes conjuntos organizados de datos que utiliza

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

RECURSO O ACTIVO DE TECNOLOGA INFORMTICA Y

Se considera poltica a la declaracin, por parte de la direccin de la Entidad, de un

Una directiva es una declaracin que provee a los miembros de la Entidad. La

Un procedimiento es una declaracin que indica cmo realizar un conjunto de

Cualquier cosa que tenga valor para la organizacin.

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

Amenaza: una causa potencial de un incidente no deseado, el cual puede resultar en

Uso sistemtico de la informacin para identificar las fuentes y calcular el riesgo.

Medios para manejar el riesgo, incluyendo polticas, procedimientos, lineamientos,

Es el arte o ciencia de cifrar y descifrar informacin utilizando tcnicas que hagan

Es la ciencia que estudia las aplicaciones tcnicas de la electricidad.

Proceso de comparar la contingencia estimada con un criterio de la contingencia dada

EVENTO DE SEGURIDAD DE LA INFORMACIN

Cualquier evento de seguridad de la informacin es una ocurrencia identificada del

Actividades coordinadas para dirigir y controlar una organizacin con relacin al

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

INCIDENTE DE SEGURIDAD DE LA INFORMACIN

Un incidente de seguridad de la informacin es indicado por un solo evento o una serie

Es una metodologa de planificacin, desarrollo y mantenimiento de sistemas de

Combinacin de la probabilidad de un evento y su ocurrencia.

Persona u organismo que es reconocido como independiente de las partes involucradas,

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

Implementacin de un SGSI usando la norma ISO-27000 sobre un sitio de

El aumento de la rentabilidad de la empresa, mejorando los procesos.

La organizacin ha identificado sus diferentes procesos de negocio claves para la banca