UNIDAD 12 Auditora Informtica Introduccin: A finales del siglo XX, los Sistemas Informticos se han constituido en las herramientas

ms poderosas para materializar uno de los conceptos ms vitales y necesarios para cualquier organizacin empresarial, los Sistemas de Informacin de la empresa. La Informtica hoy, est subsumida en la gestin integral de la empresa, y por eso las normas y estndares propiamente informticos deben estar, por lo tanto, sometidos a los generales de la misma. En consecuencia, las organizaciones informticas forman parte de lo que se ha denominado el "management" o gestin de la empresa. Cabe aclarar que la Informtica no gestiona propiamente la empresa, ayuda a la toma de decisiones, pero no decide por s misma. Por ende, debido a su importancia en el funcionamiento de una empresa, existe la Auditora Informtica. El trmino de Auditora se ha empleado incorrectamente con frecuencia ya que se ha considerado como una evaluacin cuyo nico fin es detectar errores y sealar fallas. A causa de esto, se ha tomado la frase "Tiene Auditora" como sinnimo de que, en dicha entidad, antes de realizarse la auditora, ya se haban detectado fallas. El concepto de auditora es mucho ms que esto. Es un examen crtico que se realiza con el fin de evaluar la eficacia y eficiencia de una seccin, un organismo, una entidad, etc. La palabra auditora proviene del latn auditorius, y de esta proviene la palabra auditor, que se refiere a todo aquel que tiene la virtud de or. Por otra parte, el diccionario Espaol Sopena lo define como: Revisor de Cuentas colegiado. En un principio esta definicin carece de la explicacin del objetivo fundamental que persigue todo auditor: evaluar la eficiencia y eficacia. Si consultamos el Boletn de Normas de auditora del Instituto mexicano de contadores nos dice: " La auditora no es una actividad meramente mecnica que implique la aplicacin de ciertos procedimientos cuyos resultados, una vez llevado a cabo son de carcter indudable." De todo esto sacamos como deduccin que la auditora es un examen crtico pero no mecnico, que no implica la preexistencia de fallas en la entidad auditada y que persigue el fin de evaluar y mejorar la eficacia y eficiencia de una seccin o de un organismo. Los principales objetivos que constituyen a la auditora Informtica son el control de la funcin informtica, el anlisis de la eficiencia de los Sistemas Informticos que comporta, la verificacin del cumplimiento de la Normativa general de la empresa en este mbito y la revisin de la eficaz gestin de los recursos materiales y humanos informticos. El auditor informtico ha de velar por la correcta utilizacin de los amplios recursos que la empresa pone en juego para disponer de un eficiente y eficaz Sistema de Informacin. Claro est, que para la realizacin de una auditora informtica eficaz, se debe entender a la empresa en su ms amplio sentido, ya que una Universidad, un Ministerio o un Hospital son tan empresas como una Sociedad Annima o empresa Pblica. Todos utilizan la informtica para gestionar sus "negocios" de forma rpida y eficiente con el fin de obtener beneficios econmicos y de costes. Por eso, al igual que los dems rganos de la empresa (Balances y Cuentas de Resultados, Tarifas, Sueldos, etc.), los Sistemas Informticos estn sometidos al control correspondiente, o al menos debera estarlo. La importancia de llevar un control de esta herramienta se puede deducir de varios aspectos. He aqu algunos: y Las computadoras y los Centros de Proceso de Datos se convirtieron en blancos apetecibles no solo para el espionaje, sino para la delincuencia y el terrorismo. En este caso interviene la Auditora Informtica de Seguridad.

Las computadoras creadas para procesar y difundir resultados o informacin elaborada pueden producir resultados o informacin errnea si dichos datos son, a su vez, errneos. Este concepto obvio es a veces olvidado por las mismas empresas que terminan perdiendo de vista la naturaleza y calidad de los datos de entrada a sus Sistemas Informticos, con la posibilidad de que se provoque un efecto cascada y afecte a Aplicaciones independientes. En este caso interviene la Auditora Informtica de Datos. Un Sistema Informtico mal diseado puede convertirse en una herramienta harto peligrosa para la empresa: como las maquinas obedecen ciegamente a las rdenes recibidas y la modelizacin de la empresa est determinada por las computadoras que materializan los Sistemas de Informacin, la gestin y la organizacin de la empresa no puede depender de un Software y Hardware mal diseados.

Estos son solo algunos de los varios inconvenientes que puede presentar un Sistema Informtico, por eso, la necesidad de la Auditora de Sistemas. Auditora: La auditora nace como un rgano de control de algunas instituciones estatales y privadas. Su funcin inicial es estrictamente econmico-financiero, y los casos inmediatos se encuentran en las peritaciones judiciales y las contrataciones de contables expertos por parte de Bancos Oficiales. La funcin auditora debe ser absolutamente independiente; no tiene carcter ejecutivo, ni son vinculantes sus conclusiones. Queda a cargo de la empresa tomar las decisiones pertinentes. La auditora contiene elementos de anlisis, de verificacin y de exposicin de debilidades y disfunciones. Aunque pueden aparecer sugerencias y planes de accin para eliminar las disfunciones y debilidades antedichas; estas sugerencias plasmadas en el Informe final reciben el nombre de Recomendaciones. Las funciones de anlisis y revisin que el auditor informtico realiza, puede chocar con la psicologa del auditado, ya que es un informtico y tiene la necesidad de realizar sus tareas con racionalidad y eficiencia. La reticencia del auditado es comprensible y, en ocasiones, fundada. El nivel tcnico del auditor es a veces insuficiente, dada la gran complejidad de los Sistemas, unidos a los plazos demasiado breves de los que suelen disponer para realizar su tarea. Adems del chequeo de los Sistemas, el auditor somete al auditado a una serie de cuestionario. Dichos cuestionarios, llamados Check List, son guardados celosamente por las empresas auditoras, ya que son activos importantes de su actividad. Las Check List tienen que ser comprendidas por el auditor al pie de la letra, ya que si son mal aplicadas y mal recitadas se pueden llegar a obtener resultados distintos a los esperados por la empresa auditora. La Check List puede llegar a explicar cmo ocurren los hechos pero no por qu ocurren. El cuestionario debe estar subordinado a la regla, a la norma, al mtodo. Slo una metodologa precisa puede desentraar las causas por las cuales se realizan actividades tericamente inadecuadas o se omiten otras correctas. El auditor slo puede emitir un juicio global o parcial basado en hechos y situaciones incontrovertibles, careciendo de poder para modificar la situacin analizada por l mismo. Auditora Interna y Auditora Externa: La auditora interna es la realizada con recursos materiales y personas que pertenecen a la empresa auditada. Los empleados que realizan esta tarea son remunerados econmicamente. La auditora interna existe por expresa decisin de la Empresa, o sea, que puede optar por su disolucin en cualquier momento. Por otro lado, la auditora externa es realizada por personas afines a la empresa auditada; es siempre remunerada. Se presupone una mayor objetividad que en la Auditora Interna, debido al mayor distanciamiento entre auditores y auditados. La auditora informtica interna cuenta con algunas ventajas adicionales muy importantes respecto de la auditora externa, las cuales no son tan perceptibles como en las auditoras convencionales. La auditora interna tiene la ventaja de que puede actuar peridicamente realizando Revisiones globales, como parte de su Plan Anual y de su actividad

normal. Los auditados conocen estos planes y se habitan a las Auditoras, especialmente cuando las consecuencias de las Recomendaciones habidas benefician su trabajo. En una empresa, los responsables de Informtica escuchan, orientan e informan sobre las posibilidades tcnicas y los costes de tal Sistema. Con voz, pero a menudo sin voto, Informtica trata de satisfacer lo ms adecuadamente posible aquellas necesidades. La empresa necesita controlar su Informtica y sta necesita que su propia gestin est sometida a los mismos Procedimientos y estndares que el resto de aquella. La conjuncin de ambas necesidades cristaliza en la figura del auditor interno informtico. En cuanto a empresas se refiere, solamente las ms grandes pueden poseer una Auditora propia y permanente, mientras que el resto acuden a las auditoras externas. Puede ser que algn profesional informtico sea trasladado desde su puesto de trabajo a la Auditora Interna de la empresa cuando sta existe. Finalmente, la propia Informtica requiere de su propio grupo de Control Interno, con implantacin fsica en su estructura, puesto que si se ubicase dentro de la estructura Informtica ya no sera independiente. Hoy, ya existen varias organizaciones Informticas dentro de la misma empresa, y con diverso grado de autonoma, que son coordinadas por rganos corporativos de Sistemas de Informacin de las Empresas. Una Empresa o Institucin que posee auditora interna puede y debe en ocasiones contratar servicios de auditora externa. Las razones para hacerlo suelen ser: y y y y Necesidad de auditar una materia de gran especializacin, para la cual los servicios propios no estn suficientemente capacitados. Contrastar algn Informe interno con el que resulte del externo, en aquellos supuestos de emisin interna de graves recomendaciones que chocan con la opinin generalizada de la propia empresa. Servir como mecanismo protector de posibles auditoras informticas externas decretadas por la misma empresa. Aunque la auditora interna sea independiente del Departamento de Sistemas, sigue siendo la misma empresa, por lo tanto, es necesario que se le realicen auditoras externas como para tener una visin desde afuera de la empresa.

La auditora informtica, tanto externa como interna, debe ser una actividad exenta de cualquier contenido o matiz "poltico" ajeno a la propia estrategia y poltica general de la empresa. La funcin auditora puede actuar de oficio, por iniciativa del propio rgano, o a instancias de parte, esto es, por encargo de la direccin o cliente. Alcance de la Auditora Informtica: El alcance ha de definir con precisin el entorno y los lmites en que va a desarrollarse la auditora informtica, se complementa con los objetivos de sta. El alcance ha de figurar expresamente en el Informe Final, de modo que quede perfectamente determinado no solamente hasta que puntos se ha llegado, sino cuales materias fronterizas han sido omitidas. Ejemplo: Se sometern los registros grabados a un control de integridad exhaustivo*? Se comprobar que los controles de validacin de errores son adecuados y suficientes*? La indefinicin de los alcances de la auditora compromete el xito de la misma. *Control de integridad de registros: Hay Aplicaciones que comparten registros, son registros comunes. Si una Aplicacin no tiene integrado un registro comn, cuando lo necesite utilizar no lo va encontrar y, por lo tanto, la aplicacin no funcionara como debera. *Control de validacin de errores: Se corrobora que el sistema que se aplica para detectar y corregir errores sea eficiente. Caractersticas de la Auditora Informtica:

La informacin de la empresa y para la empresa, siempre importante, se ha convertido en un Activo Real de la misma, como sus Stocks o materias primas si las hay. Por ende, han de realizarse inversiones informticas, materia de la que se ocupa la Auditora de Inversin Informtica. Del mismo modo, los Sistemas Informticos han de protegerse de modo global y particular: a ello se debe la existencia de la Auditora de Seguridad Informtica en general, o a la auditora de Seguridad de alguna de sus reas, como pudieran ser Desarrollo o Tcnica de Sistemas. Cuando se producen cambios estructurales en la Informtica, se reorganiza de alguna forma su funcin: se est en el campo de la Auditora de Organizacin Informtica. Estos tres tipos de auditoras engloban a las actividades auditoras que se realizan en una auditora parcial. De otra manera: cuando se realiza una auditoria del rea de Desarrollo de Proyectos de la Informtica de una empresa, es porque en ese Desarrollo existen, adems de ineficiencias, debilidades de organizacin, o de inversiones, o de seguridad, o alguna mezcla de ellas. Sntomas de Necesidad de una Auditora Informtica: Las empresas acuden a las auditoras externas cuando existen sntomas bien perceptibles de debilidad. Estos sntomas pueden agruparse en clases: Sntomas de descoordinacion y desorganizacin: - No coinciden los objetivos de la Informtica de la Compaa y de la propia Compaa. - Los estndares de productividad se desvan sensiblemente de los promedios conseguidos habitualmente. [Puede ocurrir con algn cambio masivo de personal, o en una reestructuracin fallida de alguna rea o en la modificacin de alguna Norma importante] y Sntomas de mala imagen e insatisfaccin de los usuarios: - No se atienden las peticiones de cambios de los usuarios. Ejemplos: cambios de Software en los terminales de usuario, resfrecamiento de paneles, variacin de los ficheros que deben ponerse diariamente a su disposicin, etc. - No se reparan las averas de Hardware ni se resuelven incidencias en plazos razonables. El usuario percibe que est abandonado y desatendido permanentemente. - No se cumplen en todos los casos los plazos de entrega de resultados peridicos. Pequeas desviaciones pueden causar importantes desajustes en la actividad del usuario, en especial en los resultados de Aplicaciones crticas y sensibles. y Sntomas de debilidades econmico-financiero: - Incremento desmesurado de costes. - Necesidad de justificacin de Inversiones Informticas (la empresa no est absolutamente convencida de tal necesidad y decide contrastar opiniones). - Desviaciones Presupuestarias significativas. - Costes y plazos de nuevos proyectos (deben auditarse simultneamente a Desarrollo de Proyectos y al rgano que realiz la peticin). y Sntomas de Inseguridad: Evaluacin de nivel de riesgos - Seguridad Lgica - Seguridad Fsica - Confidencialidad [Los datos son propiedad inicialmente de la organizacin que los genera. Los datos de personal son especialmente confidenciales] - Continuidad del Servicio. Es un concepto an ms importante que la Seguridad. Establece las estrategias de continuidad entre fallos mediante Planes de Contingencia* Totales y Locales. - Centro de Proceso de Datos fuera de control. Si tal situacin llegara a percibirse, sera prcticamente intil la auditora. Esa es la razn por la cual, en este caso, el sntoma debe ser sustituido por el mnimo indicio. *Planes de Contingencia: Por ejemplo, la empresa sufre un corte total de energa o explota, Cmo sigo operando en otro lugar? Lo que generalmente se pide es que se hagan Backups de la informacin diariamente y que aparte, sea doble, para tener un y

Backup en la empresa y otro afuera de sta. Una empresa puede tener unas oficinas paralelas que posean servicios bsicos (luz, telfono, agua) distintos de los de la empresa principal, es decir, si a la empresa principal le provea telfono Telecom, a las oficinas paralelas, Telefnica. En este caso, si se produce la inoperancia de Sistemas en la empresa principal, se utilizara el Backup para seguir operando en las oficinas paralelas. Los Backups se pueden acumular durante dos meses, o el tiempo que estipule la empresa, y despus se van reciclando. Tipos y clases de Auditoras: El departamento de Informtica posee una actividad proyectada al exterior, al usuario, aunque el "exterior" siga siendo la misma empresa. He aqu, la Auditora Informtica de Usuario. Se hace esta distincin para contraponerla a la informtica interna, en donde se hace la informtica cotidiana y real. En consecuencia, existe una Auditora Informtica de Actividades Internas. El control del funcionamiento del departamento de informtica con el exterior, con el usuario se realiza por medio de la Direccin. Su figura es importante, en tanto en cuanto es capaz de interpretar las necesidades de la Compaa. Una informtica eficiente y eficaz requiere el apoyo continuado de su Direccin frente al "exterior". Revisar estas interrelaciones constituye el objeto de la Auditora Informtica de Direccin. Estas tres auditoras, mas la auditora de Seguridad, son las cuatro Areas Generales de la Auditora Informtica ms importantes. Dentro de las reas generales, se establecen las siguientes divisiones de Auditora Informtica: de Explotacin, de Sistemas, de Comunicaciones y de Desarrollo de Proyectos. Estas son las Areas Especificas de la Auditora Informtica ms importantes. Areas Especficas Areas Generales Interna Explotacin Desarrollo Sistemas Comunicaciones Seguridad Direccin Usuario Seguridad

Cada Area Especifica puede ser auditada desde los siguientes criterios generales: y y y y Desde su propio funcionamiento interno. Desde el apoyo que recibe de la Direccin y, en sentido ascendente, del grado de cumplimiento de las directrices de sta. Desde la perspectiva de los usuarios, destinatarios reales de la informtica. Desde el punto de vista de la seguridad que ofrece la Informtica en general o la rama auditada.

Estas combinaciones pueden ser ampliadas y reducidas segn las caractersticas de la empresa auditada. Objetivo fundamental de la auditora informtica: Operatividad La operatividad es una funcin de mnimos consistente en que la organizacin y las maquinas funcionen, siquiera mnimamente. No es admisible detener la maquinaria informtica para descubrir sus fallos y comenzar de nuevo. La auditora debe iniciar su actividad cuando los Sistemas estn operativos, es el principal objetivo el de mantener tal situacin. Tal objetivo debe conseguirse tanto a nivel global como parcial.

La operatividad de los Sistemas ha de constituir entonces la principal preocupacin del auditor informtico. Para conseguirla hay que acudir a la realizacin de Controles Tcnicos Generales de Operatividad y Controles Tcnicos Especficos de Operatividad, previos a cualquier actividad de aquel. y Los Controles Tcnicos Generales son los que se realizan para verificar la compatibilidad de funcionamiento simultaneo del Sistema Operativo y el Software de base con todos los subsistemas existentes, as como la compatibilidad del Hardware y del Software instalados. Estos controles son importantes en las instalaciones que cuentan con varios competidores, debido a que la profusin de entornos de trabajo muy diferenciados obliga a la contratacin de diversos productos de Software bsico, con el consiguiente riesgo de abonar ms de una vez el mismo producto o desaprovechar parte del Software abonado. Puede ocurrir tambin con los productos de Software bsico desarrolla-dos por el personal de Sistemas Interno, sobre todo cuando los diversos equipos estn ubicados en Centros de Proceso de Datos geogrficamente alejados. Lo negativo de esta situacin es que puede producir la inoperatividad del conjunto. Cada Centro de Proceso de Datos tal vez sea operativo trabajando independientemente, pero no ser posible la interconexin e intercomunicacin de todos los Centros de Proceso de Datos si no existen productos comunes y compatibles. Los Controles Tcnicos Especficos, de modo menos acusado, son igualmente necesarios para lograr la Operatividad de los Sistemas. Un ejemplo de lo que se puede encontrar mal son parmetros de asignacin automtica de espacio en disco* que dificulten o impidan su utilizacin posterior por una Seccin distinta de la que lo gener. Tambin, los periodos de retencin de ficheros comunes a varias Aplicaciones pueden estar definidos con distintos plazos en cada una de ellas, de modo que la prdida de informacin es un hecho que podr producirse con facilidad, quedando inoperativa la explotacin de alguna de las Aplicaciones mencionadas.

*Parmetros de asignacin automtica de espacio en disco: Todas las Aplicaciones que se desarrollan son super-parametrizadas , es decir, que tienen un montn de parmetros que permiten configurar cual va a ser el comportamiento del Sistema. Una Aplicacin va a usar para tal y tal cosa cierta cantidad de espacio en disco. Si uno no analiz cual es la operatoria y el tiempo que le va a llevar ocupar el espacio asignado, y se pone un valor muy chico, puede ocurrir que un da la Aplicacin reviente, se caiga. Si esto sucede en medio de la operatoria y la Aplicacin se cae, el volver a levantarla, con la nueva asignacin de espacio, si hay que hacer reconversiones o lo que sea, puede llegar a demandar muchsimo tiempo, lo que significa un riesgo enorme. UNIDAD 13 SEGURIDAD EN CENTROS DE CMPUTO

SELECCIN Y ACONDICIONAMIENTO DEL CENTRO DE CMPUTO Factores que pueden influir en la determinacin y acondicionamiento del lugar: y y y y y y y y y y y y y Corriente elctrica confiable Comunicacin confiable Va rpida de acceso Evitar zonas con incidencia de desastres naturales Evitar zonas propensas a disturbios sociales Cercana de Polica y Bomberos Rentas atractivas Minimizar el efecto de lluvias Evitar la proximidad de aeropuertos Evitar Interferencia electromagntica Estacionamiento Espacio adecuado para planta elctrica de respaldo Aire acondicionado

y y y y y y y y y y y y y y y y y y y y y y y y

Puertas y pasillos amplios Lejana de inflamables y explosivos rea para visitas rea de comida y Sanitarios No ms all de un sexto piso Preparacin del lugar de ubicacin del centro de procesamiento de datos Preparacin del plano de distribucin Cercana del personal a recursos (consumibles, archivos, equipo,...) de uso frecuente. reas de almacenamiento/recepcin adecuadas: de consumibles (papel, cintas, disquetes), de equipo, de material de desecho Dos salidas en cada rea que contenga personal Tomas de corrientes suficientes y convenientemente localizadas Espacio adecuado para mobiliario, equipo y material Distribucin adecuada de telfonos reas que faciliten la observacin Sanitarios suficientes Posibilidad de modificacin y expansin Apariencia atractiva Consideraciones especificas para el cuarto de computadoras ("site") Espacio adecuado para: Operacin y Mantenimiento de Equipo, mesas de trabajo y/o de transporte, gabinetes de almacenamiento, almacenamiento/Colocacin temporal de discos, cintas y material impreso. Cables dentro de especificaciones (elctricos y de datos) Alternar equipo ruidoso con silencioso Cableado areo Extraccin de aire (flujo) Conductos (canaletas) externos para cableado.

Especificaciones concretas: y y y y y Flujo de aire 15 ft3/min por persona en ocupacin constante Temperatura: rango ideal 18 --> 22 C . No es recomendable operar abajo de 10 C ni arriba de 30 C Humedad relativa: 50 +- 10 % para evitar tanto condensacin como electricidad esttica. No es recomendable operar arriba de 80% ni abajo de 20% . Generador electromecnico de energa, trabaja en base a algn combustible, su tiempo de respuesta es de segundos. Pueden funcionar en periodos prolongados de tiempo. Tierra Fsica: Instalacin elctrica que permite absorber descargar elctricas, conformada por 1 varilla de cobre de 3 mts enterrada bajo el nivel del suelo y de preferencia en un lugar con humedad, complementada con sales y carbn para mejorar asimilacin de descargas. NO ES CONVENIENTE usar castillos del edificio, ni tuberas Piso Falso con 40 cms de elevacin y que soporte carga (piso falso y piso firme)

Otros requerimientos y y y y y Minimizar vibraciones, disturbios electromagnticos y ruido Procurar iluminacin y atmsfera adecuada para el personal Recubrimientos acsticos Interruptores seccionales de luz Evitar luz solar directa

NORMAS DE SEGURIDAD

Seguridad es el conjunto de normas preventivas y operativas, con apoyo de procedimientos, programas, sistemas, y equipos de seguridad y proteccin, orientados a neutralizar, minimizar y controlar los efectos de actos ilcitos o situaciones de emergencia, que afecten y lesionen a las personas o los bienes de esta. La seguridad en un centro de cmputo no solo se refiere a la proteccin del hardware, si no tambin del software. Algunas medidas de seguridad de un centro de cmputo son: 1.- impartir instrucciones a los asociados o responsables de no suministrar informacin. 2.- Revisar los planes de seguridad de la organizacin. 3.- Establecer simples y efectivos sistemas de seales. 4.- Contar con resguardo de la informacin que se maneja. 5.- Establecer contraseas para proteger informacin confidencial y privada. 6.- Evitar introducir alimentos, tales como refrescos, para impedir que puedan derramarse sobre las maquinas. 7.- No fumar. 8.- Cada equipo de cmputo debe contar con un regulador de corriente para evitar problemas o daos en caso de falla elctrica. 9.- Escanear un disquete antes de introducirlo a la computadora para as evitar infectarlas con algn virus. Estas normas varan y dependen de acuerdo de la funcin que tenga el centro de cmputo, ya que este puede ser de una escuela o de alguna organizacin privada.

En los ltimos aos el tema de la seguridad en las redes de computadores se ha tornado en un asunto de primera importancia dado el incremento de prestaciones de las mismas, as como la imparable ola de ataques o violaciones a las barreras de acceso a los sistemas implementados en aquellas. Los "incidentes de seguridad" reportados continan creciendo cada vez a un ritmo mas acelerado, a la par de la masificacion del Internet y de la complejidad del software desarrollado. Este texto pretende presentar brevemente algunas recomendaciones dirigidas a los administradores e implementadores de redes informticas, y lo he preparado a modo de sntesis breve a partir de diversos materiales difuminados en Internet. No pretendo hacer un listado exhaustivo de las responsabilidades del administrador ni explicar detalles acerca de la implementacin de las recomendaciones, aunque sugiero algunos puntos de partida para esto. Efectuar un anlisis de riesgos Esto se suele mencionar en la literatura como el primer paso a realizarse cuando se plantea la seguridad en un sistema. La idea es muy sencilla: trazar todos los elementos que conforman nuestro sistema (hardware y software) y observar cuales involucran mas o menos riesgo. Esto desembocara en un plan de seguridad cuyo objetivo es disminuir el riesgo total del sistema, que se puede modelar como la suma de los riesgos de sus componentes: RIESGO TOTAL = RIESGO(componente 1) + RIESGO(componente 2) ... El riesgo de cada componente esta en funcin directa a las perdidas que ocasionara el que este deje de operar, as como en funcin de cuan vulnerable es dicho componente en este momento. Por ejemplo, una base de

datos de clientes involucra un gran riesgo debido al gran valor que la informacin representa para una organizacin; pero una simple PC Windows de la misma organizacin conectada directamente al Internet (sin firewall/proxy de por medio) tambin lo representa, debido a que puede ser objeto de un ataque desde el exterior, con el posible riesgo de fcil propagacin hacia otros computadores de nuestra red. El riesgo no es fcil de cuantificar, siendo en general un estimador subjetivo. A modo de ejemplo podramos plantear una formula como la que sigue: RIESGO(componente) = P * V Donde P=pErdida, es la perdida en dinero que implicara la inoperatividad del componente hasta su reparacin, aunque se pueden agregar otros estimadores como el desprestigio ante nuestros clientes. A veces ayuda considerarlo como "el valor" que representa para la organizacin. V=vulnerabilidad, es tanto o ms subjetiva puesto que no hay una manera segura de establecer para todos los casos si los supuestos mecanismos de proteccin (del componente) son o no realmente confiables. As por ejemplo, podramos suponer que la vulnerabilidad de ciertos documentos importantes es muy baja, puesto que estn protegidos por cierto antivirus. Sin embargo, esto realmente estar en funcin de diversas caractersticas del antivirus, como pueden ser: recientes actualizaciones, ejecucin automtica, capacidad de eliminar virus locales, licencias no caducadas, configuracin adecuada, etc. Pero por algo se debe comenzar. Por ejemplo, se puede asignar nmeros como 1, 2, 3, 4, para sealar una vulnerabilidad mnima, regular, importante y peligrosa, respectivamente. Para una extensa (y compleja) explicacin. Esto normalmente demanda el acopio de mucha informacin, la que muchas veces no est a cargo de una sola persona. Esto implica que todo el staff encargado de las distintas partes del sistema debe colaborar en el anlisis. Lo ms valioso debe alejarse de lo ms vulnerable En la formula del "riesgo" propuesta arriba, es evidente que los componentes de nuestro sistema con algo valor y alta vulnerabilidad sern de lejos los que presenten mayor riesgo. Sin embargo, en muchos casos no es sencillo disminuir el valor de cierto componente (y por tanto la prdida en caso de problemas), y tampoco se puede eliminar completamente la vulnerabilidad del mismo (por ejemplo, si esta de cara a Internet.) En este caso lo que conviene es separar o dividir este componente en dos partes suficientemente alejadas e independientes a fin de que el riesgo total disminuya. Por ejemplo, los portales de comercio electrnico deben dar cara a Internet (siendo vulnerables en principio) y a la vez manejar informacin muy costosa (como transacciones con tarjeta de crdito.) Esto los convierte en un sistema de alto riesgo. Sin embargo es casi universal la separacin que se efecta entre los componentes dedicados a dar cara a Internet (como los Web Servers) y los componentes que manipulan la informacin comercial (generalmente sistemas DBMS.) En trminos prcticos, esto significa que el hacker no puede acceder directamente al DBMS (lo que ser catastrfico), y solo podr atacar al Web Server, lo que en principio no acarrea mayores consecuencias.

Juguemos con los nmeros siguiendo las ideas expuestas ms arriba. Suponiendo que los datos relacionados al negocio valen para nosotros $50000, y estn en un computador donde corre un Web Server IIS que no ha sido parchado adecuadamente. Entonces el riesgo sera: R total = 50000 x 5 = 250000 Supongamos ahora que los datos estn en otro computador "mismamente vulnerable" (con V=1) adecuadamente aislado del Web Server (que todava no ha sido parchado). La prdida por una interrupcin del servicio del Web Server, por da se ha estimado en $2000 (asumimos que ese es el tiempo que toma en restablecerse el servicio tras el ataque.) Entonces el riesgo total se convierte en: R total = R1 + R2 = 50000 x 1 + 2000 x 5 = 60000 Mantener las cosas simples Un sistema complejo es ms difcil de asegurar y potencialmente proporciona una mayor cantidad de puertas abiertas a los atacantes. En general, es recomendable intentar dividir el problema mediante la simplificacin de la configuracin, para as identificar los puntos o rutas de control vulnerables para incrementar la seguridad. Un ejemplo frecuentemente citado es la seguridad de una red de estaciones Windows manipulada por usuarios inexpertos. En muchos casos no resulta prctico efectuar un profundo trabajo de seguridad en las estaciones (ms all de la instalacin del antivirus, por ejemplo), puesto que por un lado, son muchas, y por otro, los usuarios suelen modificar la configuracin en tanto instalan y desinstalan su software sin dar aviso a nadie. En estos casos es aconsejable centrarnos en un nico punto que centralice la seguridad de todas las estaciones. Una configuracin de red que obligue a que todo su trfico pase a travs de un gateway permitira crear un nico punto de control para todas las estaciones, con lo cual simplificamos la administracin. Todo esto generalmente conlleva a situaciones en las que hay que hacer un compromiso. Por ejemplo, en la recomendacin anterior, optamos por separar la base de datos del servidor Web con lo que la complejidad del sistema se incremento, aunque se redujo el riesgo total. Asegurar la seguridad en todos los niveles Esto se puede expresar ms sencillamente como: no confiar el sistema a un nico mecanismo de seguridad. La informacin fluye a travs de los distintos componentes y/o capas del sistema y son muchas las instancias en las que se puede mejorar su seguridad. La recomendacin estipula que utilicemos todas estas instancias a pesar de que en principio puedan parecer redundantes. Por lo general los administradores tienden a preocuparse por un nico punto de acceso desde donde supuestamente hay una gran probabilidad de ser atacados (por ejemplo, la conexin a Internet.) Por tanto se invierte esfuerzo y dinero en controlar este nico punto bajo la Asuncin de que es la nica puerta de entrada a los maleantes y que por tanto, tras asegurarla, todo el sistema quedar seguro. Esto tiene dos problemas:

* Muchos ataques o "vulnerabilidades" se originan (de forma inocente o intencional) desde dentro de la organizacin * El sistema que controla la "puerta" siempre puede fallar Esto obliga a implementar la seguridad no en un nico punto evidentemente vulnerable, sino en todos los lugares por donde fluye la informacin al interior de cada componente involucrado. Un ejemplo Tipico lo constituye un filtro de paquetes TCP/IP, operando a nivel de capas 3 y 4 del modelo OSI. Estos por lo general hacen un gran servicio restringiendo accesos a servicios de red internos y se suelen colocar en la "puerta" o "gateway" que da cara a Internet o a una red insegura a modo de "firewall". Tomando literalmente la idea de "niveles" o "capas", podramos pensar quE hacer en este gateway para mejorar la seguridad. Son 7 las capas OSI y podramos intentar aadir instancias de control adicionales a las mencionadas. Por ejemplo, en la capa 7 (aplicacin) es frecuente y muy recomendable el empleo de proxys HTTP. Algunos firewalls proporcionan control a nivel de la capa 2 (especficamente, del MAC Address.) Sin embargo, esto se debe complementar con otras medidas que van ms all del gateway y que se implementan a lo largo de todo el sistema (pudindose considerar como niveles o "capas" adicionales), tales como redes perimtricas, el uso de encriptacin, etc. 5. Encriptar tanto como sea posible La encriptacin es un tema complejo pero cuya implementacin resulta cada vez ms sencilla conforme aparecen ms productos. Los cambios del ao pasado en la legislacin norteamericana con respecto a la exportacin de productos que encriptan, son un incentivo claro para que los desarrolladores y vendedores se interesen ms en el tema. En general, los canales de comunicacin ms vulnerables o de mayor cercana al pblico requieren una encriptacin "ms fuerte", es decir, ms difcil de descifrar por los curiosos o atacantes. Cierta informacin conlleva ms riesgo que otra, y por tanto requerir un nivel de encriptacin diferenciado. Las herramientas capaces de hacer esto son muchas, dependiendo del contexto en que nos encontremos. Por ejemplo, los sistemas DBMS ms avanzados incorporan la encriptacin como una opcin normal para los datos almacenados, generalmente bajo esquemas propietarios. La tecnologa de encriptacin de informacin destinada a pasar a travs de la red ha evolucionado bastante, hacindose popular el termino VPN [6],[7] para hacer referencia a canales que encriptan la informacin de un modo ms o menos transparente. Hay soluciones propietarias as como estndares relativamente implementados como IP SEC. Ciertas aplicaciones estndar han recibido soluciones de encriptacin tambin estndar. El caso del Web encriptado bajo SSL (HTTPS) junto con la industria de certificados digitales es el caso ms conspicuo. De igual modo los estndares para correo electrnico PGP (o derivados) y S/MIME son integrados cada vez con mayor frecuencia en las aplicaciones de los usuarios

finales. Retornemos al principio. En nuestra organizacin deberamos encriptar todo lo que sea posible. La razn de esto es evidente si de lo que se trata es de enviar un mensaje privado por Internet. Sin embargo, al interior de la organizacin la encriptacin puede ayudar tambin. Por ejemplo, es usual que cierta informacin sea manejada exclusivamente por un nmero reducido de personas (los contratos salariales, por poner un caso.) Un caso ms dramtico se presenta cuando un hacker ha logrado infiltrarse en la organizacin: si la informacin est encriptada, los datos que robe le sern intiles dado que no posee las claves correspondientes. Naturalmente hay que sopesar los inconvenientes que trae la encriptacin en trminos de incomodidad de uso, costo de licencias, ciclos de CPU, etctera; con el hecho de que cierta informacin es definitivamente de carcter publico y por tanto no tiene sentido que estE encriptada. Por ejemplo, la informacin que se publica en Internet va el Web Server de la empresa. Se puede obtener regularmente mucha informacin interesante y actualizada sobre la encriptacin. La seguridad hacia el interior Algunos reportes han puesto de relieve que en una gran cantidad de casos la mayor amenaza de ataques al sistema no proviene de fuera, sino que parte desde el interior de la organizacin. Muchos ataques exitosos desde el exterior han necesitado de cierta ayuda inicial activada en el interior de la organizacin, donde por lo general nadie sospecha de este tipo de prcticas. Por tanto, el anlisis de riesgos debe incluir posibles ataques originados en el interior, incluyndose el robo de contraseas, la modificacin de archivos de configuracin, la desactivacin de las barreras de proteccin, etc. Un caso muy comn de este tipo de ataque lo constituye el trabajador despedido o castigado que decide tomar venganza. Antes de retirarse definitivamente puede efectuar este tipo de tareas maliciosas e incluso ponerse en combinacin con un atacante externo. En ciertos casos la simple introduccin intencional de un virus puede acarrear efectos devastadores. La nica manera de reducir el riesgo en estos casos, consiste en planificar el acceso al sistema de modo tal que ningn elemento critico dependa de una sola persona. Dicho de otro modo, para daar un sistema, no debe bastar con un nico individuo disconforme. Esto muchas veces no es posible con los sistemas operativos comerciales actuales (por ejemplo, con las estaciones Windows 9x) y se hace aUn ms difcil si el despedido es el administrador! Algunos sistemas intentan por tanto dividir las responsabilidades en diversos administradores, pero en el sector comercial todava falta mucho camino por recorrer. Los usuarios de Linux podran interesarse en el sistema LIDS a fin de implementar esta recomendacin. Educar a los usuarios Una de las mayores ayudas que puede recibir un hacker que intenta

infiltrarse en el sistema de una organizacin consiste en obtener informacin acerca de Este. En este sentido, las prcticas empleadas por el atacante comprenden muchas veces la interaccin encubierta con los usuarios de la organizacin a los cuales se les extrae (sin que tomen conciencia de esto) una serie de datos tiles para el hacker. El caso ms evidente consiste en obtener "como jugando" una contrasea de parte de este incauto. Y ciertamente las contraseas de los usuarios comunes suelen ser muy malas, por lo que pueden liberarlas inadvertidamente al interlocutor en medio de una conversacin aparentemente inocente. Esto se suele denominar "Ingeniera Social". La nica forma de combatir esto es con educacin para los usuarios. Por ejemplo, es necesario hacer que ellos sean conscientes de este tipo de ataque (o entrevista), y que una de las mejores medidas a tomarse es el uso de contraseas suficientemente complicadas como para que no surjan de improviso en cualquier dilogo. Otra recomendacin (o norma obligatoria si se desea) consiste en que los usuarios no divulguen detalles acerca de la configuracin del sistema. Esta es una prctica increblemente extendida: Auxiliares, programadores, ingenieros, e incluso administradores, que en su deseo de hacer alarde del "sper sistema" que utiliza su empresa, empiezan de pronto a nombrar todos y cada uno de sus componentes, tanto de hardware como de software, con nmero de versin incluido. Esto puede ser inmediatamente aprovechado por el atacante, pues empezar a "disparar" los ataques ya conocidos para ese hardware/software especfico. No confiar (totalmente) en nosotros mismos Esto puede sonar extrao, sin embargo lo nico que quiero indicar es la necesidad de que otra persona verifique la seguridad de nuestro sistema. Como se sabe, existen empresas consultoras especializadas en auditar nuestra organizacin con este fin. Si esta Ultima opcin no es posible (por ejemplo, por el costo involucrado) entonces es de rigor solicitar a otro administrador o ingeniero que verifique las medidas que hemos considerado. En sistemas y redes complejas es muy posible que una sola persona (nosotros) hayamos dejado pasar alguna puerta insegura. Mientras ms personas verifiquen nuestro trabajo, habr ms probabilidades de que ste est adecuadamente realizado. Esta es la idea que est detrs de mucho software Open Source, siendo el Kernel de Linux el caso ms conspicuo. Naturalmente evitaremos mostrar estos detalles a personas ajenas a la organizacin, a fin de disminuir el conocimiento que se tiene en el exterior acerca de nuestro sistema. Ejecutar solo los servicios imprescindibles Algunas personas tienen la mana de instalar los sistemas con la mayor cantidad posible de opciones que puedan entrar en el disco duro. Los administradores de sistemas seguros deben ir exactamente en sentido inverso: en un sistema de alto riesgo es de rigor que se ejecute nicamente lo imprescindible. El ejemplo ms conocido corresponde a los servicios de red, los cuales muchas veces vienen configurados para estar activos tan pronto como se instala un sistema operativo, crendose automticamente nuevas oportunidades para los atacantes.

El administrador debera asegurarse de que solo estE instalado lo imprescindible para que el sistema siga en operacin. Debe descartar incluso el software aparentemente ms inofensivo. Recuerdo haber ledo de un caso en el cual el sistema de manuales de Solaris tena una vulnerabilidad explotable que permita a cualquier usuario ejecutar programas con mayores privilegios. Sistemas que en apariencia no tienen nada de riesgosos han presentado serias amenazas para la seguridad, como por ejemplo, las conexiones X Window, las libreras compartidas, los mdulos del kernel, etc. Mantenerse al da con las actualizaciones Esta recomendacin cada vez es ms crtica. El software, pese a los esfuerzos y la propaganda, continuar teniendo errores y puertas ocultas. Y al parecer la tendencia sigue en aumento con la complejidad del mismo. Esto implica que los vendedores debern proporcionar parches o versiones mejoradas a sus clientes cada vez que se descubra alguna vulnerabilidad. Lamentablemente esto no se suele tomar muy en cuenta, tanto por las empresas de software como por los administradores. Desde que se descubre una vulnerabilidad hasta que Esta puede ser aprovechada por un atacante puede pasar mucho tiempo (incluso puede ser que nunca se logre aprovechar) lo que motiva a que las casas de software tiendan a esperar ms de la cuenta para admitir la vulnerabilidad a la vez que presentan el parche correspondiente. En sistemas operativos que involucran muchos componentes (como casi todos en la actualidad) es de esperarse que las vulnerabilidades surjan con una frecuencia extremadamente alta. Desde el punto de vista de la casa de software, esto significara incomodar con demasiada frecuencia a los administradores (que se convertiran en eternos "parchadores") por lo que usualmente se distribuyen parches a intervalos relativamente extensos y que corrigen de un solo golpe todas vulnerabilidades halladas hasta la fecha, generalmente acompaadas de aditamentos al sistema de modo tal que no luzca como un simple parche (pienses en los "service pack".) Obviamente, los administradores que se limitan a esperar el lanzamiento del prximo sper-parche corren un gran riesgo en este lapso. En un ambiente de alta seguridad esto no es aceptable: los parches de cada componente deben aplicarse tan pronto como sea posible. Por tanto, si no deseamos que la administracin se convierta en un parchar y parchar, deberamos asegurarnos que nuestro sistema realmente tenga pocos componentes (y por tanto, menos necesidad de parches.) Como se indico en la recomendacin anterior, en todo sistema seguro, lo ms indicado es evitar que se ejecuten servicios innecesarios. He aqu un motivo ms para seguir esta regla. Otro corolario de esto es el establecimiento de una rigurosa poltica de actualizacin, para lo cual normalmente existen diversos canales en Internet proporcionados por el vendedor. De igual modo, es menester mantenerse informado acerca de las nuevas vulnerabilidades descubiertas, para lo cual existen diversas publicaciones electrnicas especializadas [15],[16]. 13. Escaneos regulares

Un "scanner" es un programa que intenta indagar acerca de quE servicios proporciona un computador de la red. Una vez que se conocen estos servicios, un atacante puede centrar sus ataques hacia los mismos. Esta herramienta es empleada regularmente por los hackers. Sin embargo, la podemos emplear en nuestro propio beneficio, puesto que as nosotros podremos descubrir si hemos dejado ciertas puertas abiertas. El scanner solo se limita a proporcionar esta informacin y por tanto su uso es seguro e inofensivo. El "escaneo" se debera hacer desde fuera de nuestra red (por ejemplo, desde un computador de Internet), as como desde su interior contra nuestras estaciones de trabajo [17]. Establecer planes de contingencia y sistemas de respaldo No existe ninguna garanta de que nuestro sistema sea invulnerable. Ms all de las medidas que podamos adoptar, siempre existir la posibilidad de ser atacados. Esto nos obliga a tener presentes ciertas medidas de contingencia traducidas preferentemente en polticas de seguridad bien establecidas. En otras palabras, debemos imaginarnos sucesivamente un conjunto de escenarios de ataques exitosos. Qu hacemos si... * Sospechamos que un hacker est atacando el firewall * Sospechamos que ya ha tomado control del firewall * Comprobamos que ya ha tomado control del firewall * Sospechamos que el servidor de base de datos ha sido alterado * Descubrimos que las PCs Windows han sido infectadas con un virus Las posibilidades evidentemente son muchas, y las acciones a tomarse tambin. Sin embargo es mejor tener esto por escrito a no tener absolutamente nada el da que las quejas sobre sucesos extraos en el sistema empiecen a acaecer. Ahora bien, cualquier administrador medianamente decente tendr establecida una poltica de backups para situaciones criticas. En el caso de ataques a travs de la red las consecuencias pueden obligar a requerir de estos backups, por lo que es imperativo que Estos estn actualizados y preparados para su uso. Este tipo de anlisis no debe ser extrao puesto que los sistemas pueden tener problemas por mltiples motivos que no tienen nada que ver con los ataques (por ejemplo, un fallo de hardware) que deberan tambin poseer planes de contingencia. Los administradores ms minuciosos podran efectuar simulacros de desastres: No hay nada ms frustrante en medio de un desastre que descubrir que los backups diarios nunca se grabaron por problemas en la unidad de cinta. Vigilancia La vigilancia del buen funcionamiento del sistema es un asunto ms complicado de lo que parece. El problema es que los ataques frecuentemente

estn disfrazados de conexiones ms o menos vlidas, y por otro lado, los sistemas de cmputo normalmente no avisan cuando son alterados, a no ser que esto se haya establecido de antemano. Los ataques generalmente tratan de aparentar que no ha ocurrido nada, a fin de conseguir hacer ms y ms modificaciones sin ser detectados y detenidos. Todo esto obliga a considerar de antemano ciertos indicadores que nos ayuden a determinar si un sistema ha sido comprometido o est en proceso de serlo. Esto en ciertos casos puede requerir mucha sagacidad y un profundo conocimiento de los mecanismos internos del sistema, as como la activacin de una mayor descripcin de eventos. Pero generalmente este anlisis no se pone en prctica hasta que los sntomas aparecen y el ataque ya est muy avanzado, lo que ha motivado el incremento de productos que intentan adelantarse y dar aviso cuando algo anda mal. A estos sistemas se les conoce como sistemas de deteccin de intrusiones (IDS o NIDS.) El administrador precavido har bien en considerarlos como parte de las medidas de seguridad. Establecimiento de polticas Para terminar, una recomendacin que en cierto modo engloba a todas las anteriores. El establecimiento de polticas corresponde a un mecanismo que permite asegurar que la seguridad se mantenga en todas las situaciones y se deriva del "compromiso con la seguridad" de la organizacin. La idea detrs de todo esto es que nadie puede saber de antemano lo que piensa el administrador o el encargado de la seguridad sin ser informado. Muchas organizaciones no tienen esto en cuenta y se da el caso en que un gerente se limita a reunir a los empleados y decirles "no hagan nada que pueda atentar contra la seguridad de la organizacin, o sern castigados ..." El problema es que la gente normalmente no piensa en trminos de seguridad sino en trminos de cumplimiento de obligaciones y logro de resultados, y el camino ms corto no siempre es el ms seguro. Las polticas justamente intentan abordar estos problemas mediante el establecimiento de normas que han de cumplir todos los miembros de la organizacin. Las polticas son documentos destinados a personas con responsabilidades claramente definidas y detallan cuidadosamente su alcance y aplicacin. Explican tanto procedimientos informticos como logsticos en trminos de la jerarqua de la organizacin [29],[30]. Una ventaja colateral es la posibilidad de identificar responsables en caso de ataques exitosos (y as salvar su cabeza el administrador!) El cumplimiento de las polticas pasa por hacer tomar conciencia de su importancia a los destinatarios, para lo cual es imprescindible que su aplicacin sea impulsada desde el ms alto nivel jerrquico. Es recomendable, por ejemplo, que sea leda y firmada a modo de compromiso por parte del destinatario, y su difusin puede estar acompaada por charlas informativas por parte del administrador o del staff responsable. La actualizacin responsable de las polticas es critica para su cumplimiento, por lo que en ciertos casos se indica la designacin de un responsable de las mismas o incluso de un equipo responsable, especialmente durante su elaboracin y establecimiento inicial.