Auditoria

Auditoría de los Sistemas de Seguridad de la Información
M. Farias-Elinos
Lab. de Investigación y Desarrollo de Tecnología Avanzada (LIDETEA) Escuela de Ingeniería / Posgrado e Investigación, Universidad La Salle Grupo de Seguridad de RedCUDI (Internet-2 México) e-mail: elinos@ci.ulsa.mx web: http://seguridad.internet2.ulsa.mx

Contenido
Antecedentes Problemática Definiciones Estándares Elciclo de la seguridad Legislación Informatica

1

Hacker
Disfruta explorando los sistemas y programas y sabe cómo sacarles el máximo provecho. Experto o que es especialmente hábil en el manejo de un sistema
Samurai: crackea amparado por la ley y/o la razón, contratado para investigar fallos de seguridad desdeñan a los crackers. Sneaker: aquel individuo contratado para romper los sistemas deseguridad por las empresas e instituciones con la intención de subsanar dichos errores.

Cracker
Individuo que rompe la seguridad de un sistema. se adentran en el terreno de lo ilegal, que tienen muy poco que ver con la cultura abierta que se describe en el mundo hacker Hacker que responde a la llamada del lado oscuro de la fuerza Dark side hacker. hacker

2

Antecedentes
El uso de losmedios electrónicos infomáticos como la Internet, redes de comunicaciones y computadoras es algo que se ha masificado tanto a nivel mundial como en México en diferentes áreas.
Gobierno Educación e Investigación Salud Comercio / Industria

Antecedentes
En cualquier sociedad, un pequeño porcentaje de la sociedad es maliciosa. Se estima que Internet tiene 40 millones de usuarios. Aún si elporcentaje de usuarios maliciosos es menor al 1% de esta sociedad, el número de usuarios maliciosos es tan grande que debería ser preocupante.

3

Problemática
Inexistencia o ineficiencia de los esquemas de seguridad informática Uso de herramientas tecnológicas sin un previo analisis de funcionalidad apropiados Creencia de Producto = Seguridad Mayor interconexión de redes de comunicación, y sistemasde información Dependencia de las organizaciones en los sistemas de información

Problemática
Falta de cultura y de especialistas en seguridad informática No existe una visión general de la seguridad y su interacción con los demás servicios No existe una figura oficial a quien dirigirse en situaciones de virus, intrusión o robo de información No existe una figura que pueda apoyar en laespecificación de un programa general de seguridad

4

Problemática
¿Quién registra, responde y da seguimiento a incidentes de seguridad en la institución ? ¿Quién atiende las demandas de servicios, consultas y soluciones relacionadas a seguridad por parte de los usuarios ? ¿Qué diferencia hay entre los administradores de servicios de red, DBAs, Webmasters y un encargado de seguridad?

Reporte deincidentes (CERT)
90000 80000 70000 60000 50000 40000 30000 20000 10000 0
6 9859 3734 2 2 2 2 7 7 31 3 3 4 3 4 0 4 1 2 5 7 3 1 3 4 132 252 406 21756 52658 82094 76404

1 9 8 8

1 9 8 9

1 9 9 0

1 9 9 1

1 9 9 2

1 9 9 3

1 9 9 4

1 9 9 5

1 9 9 6

1 9 9 7

1 9 9 8

1 9 9 9

2 0 0 0

2 0 0 1

2 0 0 2

2 0 0 3 *

5

Reporte de vulnerabilidades (CERT)
45004000 3500 3000 2500 2000 1500 1000 500 0 1 9 9 5 1 9 9 6 1 9 9 7 1 9 9 8 1 9 9 9 2 0 0 0 2 0 0 1 2 0 0 2 2 0 0 3 *
171 345 311 262 417 1090 2437 1993 4129

Otras estadísticas
Diagnóstico de seguridad de delitos por computadoras realizado en 1999 en los EUA por el Instituto Nacional Computacional en conjunto con el FBI. Del 100% de empresas que contestaron se tiene que:
62% sufrieron violacionesa la seguridad informática 30% reportó penetración por hackers externos 57% reportó intrusión en conexiones de internet 32% reportó negación de servicios por ataques masivos 19% experimentó sabotaje en redes de datos 14% reportó ser víctima de fraude financiero 90% tuvo incidentes de contaminación por virus 55% reportó accesos no autorizados de empleados 97% reportó abuso interno de privilegios...