Actividad 2 Curso Redes Y Seguridad Sena 6b324s

Nombre Fecha Actividad Tema

Jairo Alberto Reyes Ramirez 08/03/2017 Actividad fase 2 Políticas generales de seguridad.

Luego de estructurar el tipo de red a usar en la compañía y hacer su plan para hablar a la gerencia sobre las razones para instaurar políticas de seguridad informáticas (PSI), es su objetivo actual crear un manual de procedimientos para su empresa, a través del cual la proteja todo tipo de vulnerabilidades; sin embargo, para llegar a este manual de procedimientos, se deben llevar a cabo diversas actividades previas, y se debe entender la forma en la que se hacen los procedimientos del manual.

Preguntas interpretativas

1. Como gestor de la seguridad de la red de la empresa, usted es el encargado de generar las PSI de la misma. Desarrolle, basado en su plan anteriormente diseñado, otro plan para presentar las PSI a los de la organización en donde se evidencie la interpretación de las recomendaciones para mostrar las políticas. R: El plan a presentar es: - Una descripción de la situación actual de la empresa, el cual sirve como punto de partida para la implementación de las PSI. Esta descripción incluye un análisis a nivel técnico de los puntos fuertes y riesgos, así como el análisis de servicios los cuales están relacionados con los objetivos de la organización. - Un conjunto de modelos que describa la organización de la información que es manejada, producida y exportada por la empresa. - Una propuesta de calendario para la ejecución y seguimiento de las PSI. Esto debe incluir las fechas de auditorías y puntos de control. - Un plan de corrección, penalización y contingencia en caso de que las PSI no sean adoptadas adecuadamente, o en caso de que no llegue a funcionar en un determinado momento. En resumen el plan debe de involucrar tanto a la parte istrativa como la técnica de la empresa.

2. Las PSI tienen como base teórica implícita el algoritmo P-C. Agregue al plan de presentación a los de la organización, al menos 2 eventos diferentes a los de la teoría, en los que se evidencien los 4 tipos de alteraciones principales de una red. R:

1 Redes y seguridad Actividad 2

Interrupción: Recurso Nombre afectado Físico Router

Servicio

Navegador WEB

Intercepción: Recurso Nombre afectado Lógico Lista de proveedores

Servicio

Correo corporativo

Modificación: Recurso Nombre afectado Lógico Lista de proveedores

Servicio

Catálogo de la empresa

Producción: Recurso Nombre afectado Lógico Lista de acreedores

Servicio

Creación de

2 Redes y seguridad Actividad 2

Causa Daño causado por la inestabilidad en la red eléctrica La licencia del navegador ha caducado

Efecto No hay a la red

No se puede tener a internet a través del navegador

Causa

Efecto

Alguien logró entrar a la base de datos donde se encuentra la lista de proveedores Suplantación de identidad de

Intercepción de la lista de proveedores. Esto causa que la información confidencial de la empresa sea vulnerable a replicas. Fuga de información confidencial hacia el exterior de la empresa.

Causa

Efecto

Alguien logró entrar a la base de datos donde se encuentra la lista de proveedores Suplantación de la persona encargada del diseño del catálogo de la empresa

Modificación de la lista de proveedores. Esto hace que a la hora de comprar un recurso para la empresa esto sea confuso o equivocado. Confusión y mal entendidos a la hora que un cliente quiere hacer una compra de un producto o servicio que presta la empresa.

Causa

Efecto

Alguien creó una lista de acreedores que no existía previamente

A la hora de hacer un balance financiero, este va a resultar con incongruencias y falencias. Al momento de hacer un listado de personal activo, este no va a concordar con la realidad.

Se crea un del sistema el cual no existe en la vida real

Preguntas argumentativas

1. Su empresa debe tener, de acuerdo a la topología de red definida anteriormente, un conjunto de elementos que permitan el funcionamiento de esa topología, como routers, servidores, terminales, etc. Genere una tabla como la presentada en la teoría, en la que tabule al menos 5 elementos por sucursal. El puntaje asignado a cada elemento debe ser explicado en detalle. R:

Nombre

Riesgo (Ri)

Importancia (Wi)

Servidor

10

10

Riesgo Evaluado (RW) 100

UPS Servidor

8

8

64

Router

8

9

72

Repetidor de señal

5

6

30

Video Beam

3

2

6

3 Redes y seguridad Actividad 2

Detalle

Este elemento es indispensable en una empresa dado que en él reside toda la información que esta maneja. Este elemento no es tan crítico cuando la red eléctrica está en normal funcionamiento. Pero cuando hay cortes de energía es donde toma importancia. Este elemento es el encargado de brindar conexiones a los diferentes elementos de la red. Este elemento sirve para extender los alcances de la señal inalámbrica del router principal. Este elemento es útil solamente cuando hay una

conferencia en la sala de juntas.

2. Para generar la vigilancia del plan de acción y del programa de seguridad, es necesario diseñar grupos de s para acceder a determinados recursos de la organización. Defina una tabla para cada sucursal en la que explique los grupos de s definidos y el porqué de sus privilegios. R:

Nombre Servidores Bases de datos Routers y switches Computadores Computadores Impresoras Impresoras Página web Página web

s Grupo de telemática Empleados y istración Grupo técnico de mantenimiento Empleados Grupo técnico de mantenimiento Empleados Grupo técnico de mantenimiento Empleados Grupo técnico de mantenimiento

Tipo de Local y Remoto Local Local y remoto Local Local y remoto Local Local Local Local y remoto

Permisos Lectura escritura Lectura Lectura escritura Lectura Lectura escritura Lectura Lectura escritura Lectura Lectura escritura

y

y

y

y

y

Preguntas propositivas

1. Usando el diagrama de análisis para generar un plan de seguridad, y teniendo en cuenta las características aprendidas de las PSI, cree el programa de seguridad y el plan de acción que sustentarán el manual de procedimientos que se diseñará luego. R: - Factor Humano: se debe de realizar una selección adecuada y minuciosa de cada uno de los empleados. Una vez realizada la selección se debe de dar o crear los permisos y privilegios a cada según sus necesidades y cargo. - Equipos físicos: se debe de hacer una buena elección de los equipos físicos que se van a usar en una empresa, estos se refieren a los computadores, servidores, routers, switches, impresoras, etc. Los equipos deben de encontrarse en buen estado y deben de disponerse en un lugar adecuado para cada uno de ellos. - Nivel lógico: se debe de implementar software que ayude a proteger la información de la empresa. Debe de existir un software de control y vigilancia de cada uno de los recursos que los empleados toman, entre estos están el a internet, a una base de datos, creación y modificación de archivos críticos, etc. Entre las unciones del nivel lógico, también esta la de creación de cuentas y dada de alta de cuentas inactivas, hacer un Backup constante de la información y demás. - Contingencia y capacitación: se debe de crear un plan de contingencia en donde se prevea una situación de catástrofe. Se debe de tener planeado cuales son los

4 Redes y seguridad Actividad 2

pasos a seguir si una situación extrema no deseada llega a suceder. También se debe de crear un mecanismo de constante capacitación a los s, dado que la alta de esta provoca un alto porcentaje de error en las empresas. 2. Enuncie todos los procedimientos que debe tener en su empresa, y que deben ser desarrollados en el manual de procedimientos. Agregue los que considere necesarios, principalmente procedimientos diferentes a los de la teoría. R: • Procedimiento de a la red • Procedimiento de detección y corrección de errores en el sistema • Procedimiento para el mantenimiento de todos los equipos que conforman la red • Procedimiento para la realización de backups y restauración de la información. • Procedimiento para la verificación de envío de paquetes de información hacia el exterior de la empresa. • Procedimiento para la divulgación y adopción de nuevas políticas de seguridad informática. • Procedimiento para la verificación de la utilidad de las PSI.

5 Redes y seguridad Actividad 2