ACTIVIDAD 2 TEMA 8

Usando la herramienta INCIBE, he hecho una evaluación de las 31 amenazas hacia mis activos. Se tarda aproximadamente entre 40-50 minutos en realizarlo ya que es un proceso complicado y hay muchas amenazas que analizar. 

ACTIVIDAD 1 TEMA 8

En el INCIBE hay un apartado de catálogo de amenazas que pueden afectar a nuestros activos de muchas maneras, concretamente, al modelo CIA (Confidencialidad, Integridad y Disponibilidad). Cada cuadro afecta a alguno de los componentes de dicho modelo. 

- El primer cuadro (Fuego, Daños por agua y Desastres naturales) tienen en común que son desastres producidos de forma natural y que afectan al medio ambiente. Afectan a la disponibilidad. 

- El segundo cuadro (Fuga de información, Introducción de falsa información, Alteración de la información, Corrupción de la información, Destrucción de información e Interceptación de información) tienen en común su relación con la información. Afectan a la integridad y a la confidencialidad. 

- El tercer cuadro (Corte del suministro eléctrico, Condiciones inadecuadas de temperatura o humedad, Fallo de servicios de comunicaciones, Interrupción de otros servicios y suministros esenciales y Desastres industriales) tienen en común los fallos e interrupciones que puede haber accidentalmente. Afectan a la integridad y a la disponibilidad. 

- El cuarto cuadro (Degradación de los soportes de almacenamiento de la información, Difusión de software dañino, Errores de mantenimiento/actualización de programas y de equipos, Caída del sistema por sobrecarga, Pérdida de equipos, Indisponibilidad del personal, Abuso de privilegios de acceso y Acceso no autorizado) tienen en común los errores o fallos que puede haber en los sistemas. Afectan a la integridad y a la confidencialidad.

- El quinto cuadro (Errores de los usuarios, del administrador y de configuración) tienen en común los errores. Afectan a la confidencialidad y a la integridad. 

- El sexto cuadro (Denegación de servicio, Robo, Indisponibilidad del personal, Extorsión e Ingeniería social) tienen en común los problemas que puede haber dentro de la organización. Afectan a la confidencialidad y a la integridad. 

ACTIVIDAD 5 TEMA 7

En esta tabla podemos ver algunos de los activos más importantes de mi organización y las amenazas más comunes que puede haber. Dichas amenazas las he valorado entre 2 y 6 considerando el riesgo de esta. 

ACTIVIDAD 4 TEMA 7

Según los valores de la herramienta INCIBE, si creo una matriz de riesgo creo que podría tener los siguientes valores:

ACTIVIDAD 3 TEMA 7

Esta plantilla facilitada por INCIBE tiene la siguiente estructura de hojas: 

- Primera hoja: guía con pasos para saber como realizar un análisis de riesgos.
- Segunda hoja: aparece un ejemplo de un análisis de riesgos para que sea utilizado como referencia.
- Tercera hoja: aquí están las tablas AR para valorar el impacto y la probabilidad en una escala de tres valores. 
- Cuarta hoja: aparece una lista de las amenazas más comunes y que hay que tener en cuenta. 
- Quinta hoja: salen los activos que se tienen que proteger. 
- Sexta hoja: hay una tabla de cruces entre los activos y las amenazas para ver cuales de esas amenazas pueden afectar a los activos. 
- Séptima hoja: se hace el análisis de riesgos para los activos seleccionados, junto a su probabilidad e impacto. 

ACTIVIDAD 2 TEMA 7

Mi empresa tiene los siguientes riesgos, que se ven reflejados en un diagrama de burbujas: 

ACTIVIDAD 1 TEMA 7

La matriz de riesgos es una herramienta para identificar los riesgos más significativos inherentes a las actividades de una empresa, tanto de procesos como de fabricación de productos o puesta en marcha de servicios. Es decir, es un instrumento que vale para mejorar el control de riesgos y la seguridad de una organización. 

ACTIVIDAD 5 TEMA 6

He elegido el dominio 5, Políticas de Seguridad, que se divide a su vez en un subpunto llamado directrices de la Dirección en la seguridad de la información que habla del conjunto de políticas para la seguridad de la información y de la revisión de las políticas de la seguridad de la información. 

La organización debe establecer las políticas de seguridad de la información según los requisitos del negocio, las leyes y sus normas en un documento. También se debe decir lo que significa para ellos para la seguridad de la información, el compromiso que tienen que tener todos los directivos con esta política y crear una estructura donde aparezcan los objetivos y las formas de conseguirlos. 

ACTIVIDAD 4 TEMA 6

ACTIVIDAD 3 TEMA 6

ACTIVIDAD 2 TEMA 6

A continuación voy a enseñaros una hoja de cálculo, creada con Excel, basada en la norma ISO/IEC 27002. En esta hoja, las filas representan cada uno de los 11 dominios de seguridad y las columnas representan:

- La ponderación en porcentaje

- El nivel de amenaza estimada cubierta en valores de 0 a 10

- La probabilidad acierto en la protección en dos decimales con valores de 0 a 1

- El riesgo cubierto de dominio en dos decimales

DIFERENCIA ENTRE ISO/IEC 27002:2005 E ISO/IEC 27002:2013

La norma ISO/IEC 27002 está compuesta por las siguientes cláusulas de control: 

- Política de seguridad 

- Organización de la seguridad de información

- Administración de activos 

- Seguridad de los recursos humanos 

- Seguridad física y ambiental

- Administración de las comunicaciones y operaciones

- Control de acceso

- Adquisición, desarrollo y mantenimiento de sistemas de información 

- Administración de incidentes de seguridad de información 

- Administración de la continuidad de negocios

- Cumplimiento 

La diferencia entre la ISO/IEC 27002:2005 y la ISO/IEC 2013 es que la versión de 2005 tiene 11 dominios, 133 controles para llevar a cabo los 39 objetivos de control que tiene, mientras que la versión de 2013 tiene 14 dominios, 114 controles para llevar a cabo los 35 objetivos de control que tiene. 

En definitiva, la versión de 2013 está más actualizada en cuanto a dominios, habiendo añadido 3 nuevos, pero en cuanto a los controles y sus objetivos han disminuido. 

MEDIDAS DE CONTROL DE LA ISO 27002

Tomando el catálogo de medidas de control de la ISO 27002, he seleccionado la número 8 que es la Gestión de Activos. 

El objetivo de la norma ISO 27002 es que la empresa tenga unos conocimientos sobre todos los activos que tiene como parte clave de la administración de riesgos. Los activos de información tienen que estar ordenados según la sensibilidad y criticidad de la información que tienen como objetivo señalar como se tiene que tratar y proteger la información. 

RESPONSABILIDAD SOBRE LOS ACTIVOS

Los activos de información según la norma ISO  27002 tienen que ser justificados y tener asignado un propietario y deberán identificarlos para todos los activos asignándoles responsabilidades de mantenimiento de los distintos controles. Las actividades de control del riesgo son:

- Inventario de activos: deben estar identificados, manteniendo un inventario con los más importantes.
- Propiedad de los activos: toda la información y activos del inventario relacionados con los recursos para el tratamiento de la información tienen que pertenecer a una parte de la organización. 
- Uso aceptable de los activos: se tiene que identificar, documentar e implantar regulaciones para el buen uso de la información y los activos del inventario relacionados con los recursos para el tratamiento de la información.
- Devolución de activos: todos los empleados y usuarios relacionados con la organización tienen que devolver todos los activos de dicha organización de los que sean poseedores una vez finalizado el contrato de empleo. 

CLASIFICACIÓN DE LA INFORMACIÓN 

Se debe clasificar la información para indicar la necesidad, las prioridades y el nivel de protección previsto para su tratamiento. Las actividades de control del riesgo son:

- Directrices de clasificación: la información debe clasificarse según su valor, requisitos legales, sensibilidad y criticidad para la organización.
- Etiquetado y manipulado de la información: tiene que desarrollar e implantarse un conjunto adecuado de procedimientos para etiquetar y tratar la información, según la clasificación adoptada por la organización. 
- Manipulación de activos: tiene que desarrollar e implantarse procesos para manipular los activos acordados con la clasificación de la información adoptada por la organización. 

MANEJO DE LOS SOPORTES DE ALMACENAMIENTO

Los medios deben ser controlados y protegidos. Las actividades de control del riesgo son:

- Gestión de soportes extraíbles: hay que establecer procesos para la gestión de los medios informáticos removibles de acuerdo con la clasificación adoptada por la organización. 
- Eliminación de soportes: hay que eliminar los medios de forma segura y sin riesgo cuando ya no se necesiten, utilizando procedimientos formales. 
- Soportes físicos en tránsito: hay que proteger los medios que contienen información contra el acceso no autorizado, mal uso o corrupción durante el transporte fuera de los límites físicos de la organización. 

FASES DE LA IMPLANTACIÓN DE UN SGSI MEDIANTE GANTT

A continuación, voy a mostrar un diagrama de Gantt, mediante la página web Canva, en la que salen las 7 fases de la implantación del Sistema de Gestión de la Seguridad de la Información (SGSI) divididas en 7 semanas.

ACTIVIDAD 3 TEMA 5

De los activos identificados en la publicación anterior, voy a valorar de 1 a 5 las posibles amenazas que podrían darse intuitivamente en dichos activos. 

Los riesgos serán los siguientes:

- Documentos y archivos: pueden robarlos o alterar la información que se encuentra en su interior. 

- Libros: pueden romper las hojas. 
- Programas: pueden introducir virus en ellos. 
- Ordenador y móvil: pueden conseguir información privada y distribuirlo a quien quieran o introducir virus en ellos. En general, son los que más daño sufren. 

ACTIVIDAD 2 TEMA 5

Con respecto a mi anterior entrada voy a hacer un inventario de todos los activos informáticos de los que dispongo. 

¿QUÉ ES? Los activos informáticos son aquellos recursos (hardware y software) con los que cuenta una empresa, es decir, todo elemento que compone el proceso completo de comunicación. Se pueden clasificar en:

- Información: elementos que contienen datos registrados en medios magnéticos o físicamente.

- Equipos que la soportan: 

• Software: programas de ordenadores para la automatización de los procesos de la empresa y de los negocios.
• Hardware: infraestructura tecnológica que brinda soporte a la información durante su uso, tránsito y almacenamiento. 
• Organización: aspectos que conforman la estructura física y organizativa de la empresa. 

- Usuarios: individuos que usan la estructura tecnológica y comunicación de la empresa y manejan la información. 

Según lo que yo tengo en mi hogar, la clasificación sería: 

- Información: documentos, archivos, libros y programas. 

- Equipos que la soportan: 

• Software: sistemas operativos como IOS
• Hardware: ordenador, móvil y televisión
• Organización: archivadores, armarios, mesas y habitaciones. 

- Usuarios: yo

ACTIVIDAD 1 TEMA 5

Actualmente, tener una política de seguridad es una de las cosas más importantes que hay que plantearse ya que ahora, con las nuevas tecnologías, es más fácil conseguir información o datos de cualquier persona. 

Además, en nuestros hogares también hay que tener algún modo de seguridad como tener una puerta blindada para que sea casi imposible poder forzarla y, sobre todo, cerrar siempre con llave cuando dejes la casa sola. 

Personalmente, pienso que tener una alarma y/o cámaras de seguridad siempre vienen bien ya que en el caso de que alguien entre a tu casa mientras tú estás fuera, incluso estando dentro, la alarma avisará directamente a la policía y con las cámaras se podrá observar quién está entrando para que, si no ha dado tiempo a pillarles, por lo menos se tengan algunas pistas para empezar a buscar. 

En mi casa, la persona que ejercerá de alta dirección seré yo y si alguien incumple alguna de estas políticas, desde no activar la alarma a no cerrar con llave, tendrá que pagar por lo que se lleve, además de pagar todos los gastos de la casa, como la luz, agua, etc, durante 3 meses.

CODIFICACIÓN BINARIA

El código binario me parece un tema bastante interesante y que, aunque a simple vista parezca muy difícil, realmente no lo es tanto. Por eso, me gustaría explicaros un poco acerca de este tipo de codificación. 

¿QUÉ ES? Es el sistema numérico que permite hacer que un ordenador funcione. Se trata de unos interruptores que pueden estar cerrados o abiertos con los que realizar operaciones lógicas, es decir, para codificar la información. 

Los interruptores cerrados se utilizan para verdadero y se le ha asignado el número 1 y los interruptores abiertos se utilizan para falso y se le ha asignado el número 0. 

Actualmente, se utiliza la base decimal o base 10 para contar y se le conoce así porque se cuenta utilizando 10 dígitos (0,1,2,3,4,5,6,7,8,9). Antiguamente, se utilizaban la base sexagesimal (60), la duodecimal (12) y la vigesimal (20). A día de hoy, algunas de ellas aún se utilizan. 

El término bit (b) significa dígito binario y corresponde a los números 0 y 1 en la numeración binaria. 

¿CÓMO CALCULARLO?

Hay dos formas para calcularlo: pasando de número a binario o viceversa. 

De número a binario: Para codificar un número binario hay que coger cualquier número y dividirlo entre 2. El resto siempre dará 0 o 1 y en el momento en el que ese número ya no pueda ser dividido, habrá acabado de codificar. 

Ejemplo: Pasar el número 25 a binario: 

Como se puede ver en la imagen el resto da 0 o 1, como habíamos dicho, y cuando llega al 3 ya no se puede seguir dividiendo. A continuación, vamos a pasar el número 25 a código binario: se tienen que coger los números en sentido contrario a como se han conseguido. Por lo que quedaría así: 11001

EJEMPLOS:

- El número 8 a binario es 1000

- El número 20 a binario es 10100

- Mi fecha de nacimiento a binario es 1

- El número 126 a binario es 1111110

- Mi número de DNI a binario es 1001111001010101100001

De binario a número: Primero vamos a crear una tabla con 8 cuadrados en los que vamos a poner el número 2 y a cada uno de ellos, empezando por la derecha, se le va a poner un exponente del 0 al 7. Después, haremos una segunda fila debajo en la que resolveremos las potencias de arriba. De manera que quedaría así: 

Después, colocaremos los números del binario que queramos calcular, empezando por la derecha, en una tercera fila. Y para saber el decimal, se sumarán los valores de las posiciones situadas encima del 1. 

Ejemplo: Pasar el binario 11001 a número:

MODELO DE SEGURIDAD CIA

El modelo de seguridad CIA proviene de los términos en inglés "Confidentiality", "Integrity" y "Availability" y en español se traducen como Confidencialidad, Integridad y Disponibilidad. 

Este modelo sirve para representar la seguridad de la información desde los comienzos. Los tres términos que forman las siglas de este modelo se unen para mantener un sistema funcional y proteger la información. Cuando se produce esta unión se dan nuevas características:

- Cuando se unen la confidencialidad y la integridad se crea el servicio de No Repudio que se usa para que alguien no desmienta la autoría de la acción. 

- Cuando se unen  la confidencialidad y la disponibilidad se crea el servicio de Autentificación que se usa para administrar los accesos e identificar a los usuarios. 

- Cuando se unen la integridad y la disponibilidad se crean los servicios relacionados con la privacidad que se usa para que la información de algún usuario solo pueda ser utilizado por él y no haya probabilidades de que sea alterado por otros usuarios. 

Se representa a través de un triángulo, de ahí que también se le conozca como "Triángulo CIA" O "Triada CIA". Cada uno de sus puntos hace referencia a las dimensiones principales de la seguridad, y las líneas hacen referencia a los aspectos procedentes o servicios principales de la seguridad que implican dos posibles nodos. 

CONFIDENCIALIDAD

Se ocupa de evitar la propagación de la información a personas o sistemas no acreditados a ello. Un ejemplo de fallo de confidencialidad fue la filtración del padrón electoral del INE en abril de 2016, la cual fue subastada en la famosa página web de compras, Amazon. Se descubrió información o datos confidenciales como el nombre o el domicilio de más de 93 millones de personas en México. 

INTEGRIDAD

Se ocupa de que la información que se encuentra en el sistema sea legítima y precisa. Además, se ocupa de que dicha información no pueda ser alterada por alguien no acreditado para ello. Un ejemplo de fallo de integridad fue un hack en bancos de Sri Lanka, en el cual se aprovechó una debilidad en SWIFT que es un lenguaje de programación multiparadigma creado por la marca Apple. Lograron hackear 951 millones de dólares. 

DISPONIBILIDAD

Se ocupa de que las personas acreditadas puedan acceder a la información y a los sistemas cuando lo necesiten, incluso en momentos de urgencia. Un ejemplo de fallo de disponibilidad fue el desplome del servicio de PlayStation Network en 2011 a causa de una vulnerabilidad.  

Para una mejor comprensión de lo explicado, voy a adjuntar un vídeo: 

PRESENTACIÓN

Bienvenidos y bienvenidas a mi blog de Informática. Antes de nada quiero explicar el título, se trata de un juego de palabras con informática y Criminología, he cogido las dos primeras sílabas de informática y las dos últimas de Criminología y luego he hecho lo mismo pero al revés. 

Una vez aclarado esto, voy a explicar el porqué de este blog. Bueno, me llamo Diana Amigo y estudio el Grado de Criminología en la URJC de Alcorcón. Doy una clase que se llama Informática Aplicada a la Criminología y uno de mis trabajos es crear un blog en el que explicar cosas sobre esta asignatura. 

En esta asignatura se da un poco de todo: qué es un ordenador, temas relacionados con las redes sociales, las vulnerabilidades y amenazas que puede haber, la diferencia entre el software y el hardware y muchisímas cosas más. Esta clase se da en un aula en la que hay un montón de ordenadores de mesa HP. 

Mis expectativas no son muy altas, únicamente me gustaría saber más acerca de todo lo relacionado con la tecnología y así poder darle más utilidad, teniendo en cuenta siempre los peligros que puede haber y, si los hay, como solucionarlos.