Politica De Seguridad De La Red Intranet

Introducción

Seguridad significa disponer de medios que lograrán reducir lo más que se pueda, la vulnerabilidad de la información y de los recursos; aunque no se puede alcanzar el 100% de seguridad, la tendencia debe ser llegar a ese valor extremo. La información constituye uno de los recursos principales de una organización, por lo tanto se debe proteger, un conjunto de actividades, mediante controles y políticas de seguridad que se deben implementar en una base de recursos humanos, hardware y software.

Desarrollo

La seguridad de la información depende de la gestión y los procedimientos adecuados, de los empleados de la organización, proveedores, clientes, accionistas y del nivel de seguridad de los medios técnicos.

LOS ACTIVOS DE UNA ORGANIZACIÓN

Los activos asociados a los sistemas de información de una organización, se pueden clasificar de acuerdo a lo siguiente:

Recursos de información: Se consideran así a las bases de datos, manuales de usuario, procedimientos operativos o de soporte, planes de continuidad, información archivada, disposiciones de emergencia para la recuperación de información.

• Software: Software de aplicaciones, Sistemas operativos, herramientas de desarrollo y utilitarios.
• Equipos: Servidores, Computadoras, Routers, Switches, Hubs, PABX, equipos de energía, aire acondicionado, equipos de comunicaciones, etc.
• Servicios: Servicios de comunicaciones, de procesamiento informático, energía eléctrica, iluminación, aire acondicionado.

La seguridad debe permitir proteger las siguientes características de la información:

Confidencialidad, es decir, que la información sea conocida únicamente por personas autorizadas.

Integridad, o sea que su contenido no sea alterado a menos que sea modificado por personal autorizado Disponibilidad, es decir, la capacidad de estar siempre disponible para ser procesado por personas autorizadas. Control, ya que solo las personas autorizadas pueden decidir cuando y cómo acceder a la información.

• Autenticidad: La información es válida y utilizable y también que la fuente de la información es válida.
• Protección al replay: la transacción solo se realiza una vez, a menos que se especifique lo contrario.
• No repudio: Para evitar que una entidad que recibió o envió información alegue que no lo hizo.

La Intranet o redes internas deben ser protegidas, puesto que existen diversas amenazas. Se debe realizar una valoración de los activos y determinar su importancia así como el riesgo a la que están sometidos. Esta valoración deberá responder a los siguientes cuestionamientos:

AMENAZAS A LA SEGURIDAD DE LA INFORMACIÓN

• Catástrofes naturales: Este tipo de amenazas generalmente provocan la interrupción de los servicios, afectando principalmente a la disponibilidad de la información, ejemplos de este tipo de amenazas son los provocados por la naturaleza: las inundaciones, terremotos, tornados, etc.
• Amenazas físicas: Relativo al acceso físico a los recursos, pueden resultar en robos, daños físicos a los equipos, sabotajes. El acceso no autorizado, pero que se logra mediante la ingeniería social, explotando la confianza de los empleados de una organización.
• Fraude Informático: Representados por el engaño a los clientes en la venta de productos y servicios a través de promociones y agencias que no existen.
• Intrusiones: O sea el acceso no autorizado a los sistemas de comunicaciones, a los servidores de una organización, con el fin de dañar la imagen u obtener beneficios económicos indebidos.
• Errores humanos: Como su nombre lo indica resultan de la acción humana, como ser: passwords fácilmente vulnerables, backup de los sistemas mal hechos, interrupción de los servicios, configuraciones incompletas de los dispositivos.
• Software ilegal: Las consecuencias de copiar software ilegal conducen a vulnerabilidades de los sistemas informáticos, ya que no se cuenta con las actualizaciones que los desarrolladores proporcionan, dentro del software ilegal se tienen también otras amenazas como los códigos maliciosos.
• Código malicioso: Es todo programa o parte de programa (software) que ocasiona problemas en los sistemas informáticos, como ser los virus, troyanos, gusanos, puertas traseras, cuando se activan en los sistemas finales. Este tipo de amenaza ha evolucionado por la conectividad cada vez mayor de Internet y por los recursos de engaño de los que se valen los atacantes.

Hemos indicado líneas arriba que es necesario estimar los riesgos a los que están sujetos la red, los servidores, los dispositivos de redes. Si bien, es difícil realizar una evaluación exacta de la información, se podría intentar evaluarla suponiendo su pérdida o alteración.

POLITICAS DE SEGURIDAD.

La implementación de un sistema de seguridad debe estar complementado con las políticas de seguridad. La política de seguridad requiere no solamente conocer las amenazas a las que están expuestas la información y los recursos de una organización, sino también establecer el origen de las mismas, que pueden ser internas o externas a la organización. De nada valdría proteger la empresa de los usuarios del exterior si también existen amenazas internas. Por ejemplo, si un usuario utiliza un disquete que contiene un virus podría expandirlo a toda la intranet.

Una política de seguridad es la declaración de las reglas que se deben respetar para acceder a la información y a los recursos. Los documentos de una política de seguridad deben ser dinámicos es decir, ajustarse y mejorarse continuamente según los cambios que se presentan en los ambientes donde se crearon.

Conclusión

Las políticas de seguridad se desarrollan con el fin de preservar la información y los sistemas de una Empresa, y garantizando la integridad, confidencialidad y disponibilidad de la información. Los documentos relativos a las políticas de seguridad deben contemplar los procedimientos para hacer cumplir las reglas, las responsabilidades en todos los niveles. Todos ellos deben tener el apoyo gerencial de la organización.

La información es un recurso de suma importancia para la Empresa u organización y se la debe proteger a través de la implementación de las medidas de seguridad basadas en hardware, software y recursos humanos, pero también complementadas con adecuadas políticas de seguridad que sean conocidas por el personal de la organización en todos sus niveles. El personal de la organización debe identificarse plenamente con los objetivos de seguridad y protección que busca la Empresa. La seguridad de la información es tarea de todos: del personal de la Empresa, de los Socios, de los accionistas, de los clientes.