GOBIERNO DE

SEGURIDAD DE LA
INFORMACIN

Msc. Marcelino W. Carretero Obando

APMG International
Registro 2000134635
CERTIFICATE N 02326936-01-ZX84

mwco12@Gmail.com
AGENDA
1.- Gestion de Incidentes
- BCP Business Continuty Plan
- DRP Disaster Recovery Plan
2.- Caso de Estudio.

mwco12@Gmail.com
 1.- BCP y DRP

Condiciones de seguridad en el negocio.

Un negocio es seguro si:

Se puede confiar en l

Si su software se comporta como se espera que lo haga, y

Si la informacin almacenada en l se mantiene inalterada y accesible durante

tanto tiempo como su dueo lo desee.
Sobre este aspecto, la seguridad busca consolidar la
confidencialidad, integridad, autenticidad y disponibilidad
de la informacin.

De igual forma, la seguridad informtica busca mantener y

conservar la operatividad de la organizacin y de su
sistema a partir del resguardo de sus recursos.
Qu se quiere proteger?
Es muy importante determinar el valor del hardware y las
tareas que realiza (qu tan importante es para la
organizacin en que se est trabajando).

Esta valoracin debe hacerse de forma individual, pues lo

que es valioso para algunos no lo es para otros.
Contra qu se quiere proteger?
Para no incurrir en gastos innecesarios, es importante
determinar cules son los riesgos reales a los que est expuesto el
equipo de cmputo.
Contra qu se quiere proteger?
La seguridad efectiva debe garantizar la prevencin y deteccin de
accidentes, ataques, daos por causas naturales, as como la existencia de
medidas definidas para afrontar los desastres y lograr el restablecimiento de las
actividades.
Cunto tiempo, dinero y esfuerzo se est dispuesto a invertir?

Se refiere a la cantidad de recursos que dispone o que est dispuesta a invertir la

organizacin, lo que determinar en ltima instancia las medidas que se van a tomar.
Estos recursos son:
Tiempo. Para tener un nivel de seguridad alto es necesario que alguien dedique tiempo a
configurar los parmetros de seguridad del sistema, el ambiente de trabajo de los
usuarios, revisar y fijar los permisos de acceso a los archivos, ejecutar programas de
monitoreo de seguridad, revisar las bitcoras del sistema, etc.
Esfuerzo. Establecer y mantener un nivel adecuado de seguridad
puede significar un esfuerzo considerable por parte del
encargado, sobre todo si ocurren problemas de seguridad.
Dinero. El tener a alguien que se encargue de la seguridad en forma
responsable cuesta dinero. De igual forma cuesta dinero adquirir los
productos de seguridad que se vayan a utilizar, ya sean programas o
equipos.
ELEMENTOS ADMINISTRATIVOS EN SEGURIDAD
Para garantizar el ms alto nivel de seguridad computacional o seguridad de la
informacin, varios elementos deben estar continuamente activos y trabajar en
conjunto.

Poltica definida sobre seguridad en computacin.

Organizacin y divisin de las responsabilidades.
Poltica hacia el personal.
Seguros.
Clasificacin de los datos.
Auditoria y Control
 Control de riesgos
Plan de contingencia.

Son un conjunto de procedimientos para tomar acciones especificas cuando surja un

evento o condicin inesperada. Es un plan formal que describe pasos apropiados que se
deben seguir en caso de un desastre o emergencia.

Debe considerar:

1) antes.- como plan de respaldo

2) durante.- Como plan de emergencia
3) despes.- Como plan de recuperacin tras un desastre.
Control de riesgos

Plan de recuperacin en caso de desastres.

Son medidas previsoras que tienen como objetivo

establecer la metodologa y los recursos necesarios con la
finalidad de restablecer los servicios de cmputo en forma
oportuna, al presentarse cualquier contingencia.
La evaluacin de la seguridad permite a una
organizacin contar con una valoracin de la
madurez de los controles de seguridad y orientar
sus esfuerzos y sus recursos a la mitigacin de los
riesgos y el incremento de la seguridad en las reas
de cmputo.
La evaluacin de la seguridad de la informacin se
desarrolla en tres etapas o fases:

1.Anlisis de apego a las mejores prcticas,

2.Anlisis tcnico de vulnerabilidades y
3.Plan de remediacin. (contingencia y
recuperacin)
 Casos de desastre .
La informacin es considerada el principal activo de las empresas, sin
importar su actividad o nmero de empleados.
Contar con un respaldo de informacin o back-up es una inversin segura en
caso de desastre, si se considera que la prdida de datos clave puede
repercutir en la estabilidad y continuidad de la empresa.

Para superar un desastre informtico, existen planes a seguir que deben

partir del anlisis de los siguientes puntos:

Identificar servicios y recursos crticos.

Entender los riesgos e impactos de sufrir un desastre informtico.
Establecer la relacin costo-beneficio.
Definir estrategias y planes de recuperacin.
 Casos de desastre .

Actualmente los dos planes ms importantes que

existen para continuar las operaciones de la
empresa ante un desastre informtico son:

1. Plan de Recuperacin de Desastres

2. y Plan de Continuidad de Negocios

 Plan de Recuperacin de Desastres .
Este plan (tambin llamado DRP por sus siglas en ingls) consiste
en contar con respaldos de informacin crtica del negocio ante
contingencias como: ataques informticos, robo, incendio,
inundacin u otro desastre.
La informacin es respaldada en un servidor alterno, propiedad
de una empresa proveedora de este servicio. Al contratar un
respaldo, la empresa firma un convenio de confidencialidad con
su cliente para asegurarle que la informacin albergada en los
servidores alternos estar segura.
Un Plan de Recuperacin de Desastres debe adecuarse a la
operacin cotidiana de la empresa y no a la inversa, pues cada
negocio tiene necesidades y requerimientos diferentes.
 Plan de Continuidad de Negocios
Cuando una empresa sufre daos fsicos por vandalismo, incendios
o desastres naturales, es comn que, aunque la informacin se
tenga respaldada, esto no asegure la continuidad inmediata de
las operaciones, debido al dao sufrido en el personal, las
instalaciones y los equipos de cmputo.
Por esta razn es importante implementar un Plan de Continuidad
de Negocios (BCP por sus siglas en ingls), que adems de incluir el
back up, debe contemplar una estrategia que incluya acciones de
los colaboradores y una ubicacin fsica alterna equipada con lo
necesario para que la empresa pueda empezar a operar
prcticamente de inmediato.
 Plan de Continuidad de Negocios
Entre las ventajas de implementar un Plan de Continuidad de Negocios se
encuentran:

- Asegurar el futuro de la empresa. Existen estudios que demuestran que tras

sufrir una prdida importante de informacin, las empresas quiebran en un
tiempo promedio de tres aos.

- Cuidar sus recursos. Implementar un plan de respaldo y de continuidad de

operaciones, es una inversin segura si se considera que perder informacin
clave le significar gastos no previstos que desestabilizarn sus finanzas.

- Mantener su reputacin. Al continuar casi ininterrumpidamente con las

actividades, sus clientes reconocern en su empresa valores como el
compromiso y la responsabilidad, lo que les dar la confianza de continuar
adquiriendo sus servicios.
 Plan de Continuidad de Negocios
Un factor muy importante al implementar el DRP y el BCP es su constante
actualizacin, la cual debe ir a la par de la deteccin de nuevas amenazas,
cambios en la estrategia de negocios, creacin o eliminacin de reas
dentro de su empresa, etc.
Invertir en estas herramientas asegura la continuidad de las operaciones, lo
cual es un elemento clave para el xito de cualquier negocio.
Un Plan de Continuidad de Negocio tiene como objetivo el mantenimiento
de estos servicios y procesos crticos, as como la reduccin de impactos
ante imprevistos de indisponibilidad o desastres para en un plazo razonable
y con un coste acotado.

Este servicio est orientado a la obtencin de un plan global que garantice

la cobertura tcnica y organizativa adecuada de las reas crticas de
negocio.
 Los objetivos del plan de continuidad de negocio son:
Salvaguardar los intereses de sus clientes y socios adems del
negocio y la imagen de la organizacin.

Identificar los puntos dbiles en los sistemas de la organizacin.

Analizar las comunicaciones e infraestructuras.

Conocer la logstica para restablecer los servicios,

independientemente de los sistemas.

Ofrecer alternativas viables a todos los procesos crticos de

negocio.
 Alternativas de recuperacin
El plan de continuidad de negocio abarca todos los sectores de negocio, dado
con ms nfasis en aquellos donde la disponibilidad de la informacin es su
mayor activo.
No hay importancia del tamao de la empresa o institucin, un plan de
continuidad puede ser aplicado tanto a empresas grandes, medianas,
pequeas e incluso micro empresas. Como todo proceso, la aplicacin de un
plan de continuidad involucra determinados pasos obligatorios para garantizar
la funcionalidad del mismo, estas fases son:

1.Fase de anlisis y evaluacin de riesgos

2.Seleccin de estrategias
3.Desarrollo del plan
4.Pruebas y mantenimiento del plan
 Bibliotecas fuera del sitio .
El plan de recuperacin debe incluir informacin sobre cmo proteger y
restaurar los sistemas y software.

Recuperar contra cualquier tipo de prdida, incluyendo datos de

inventario, medios de instalacin y prdida de prueba de propiedad.

Determinar cmo mantener el sistema actualizado.

Decidir cules pasos tomar para restaurar medios en el sitio e

informacin a su estado previo en caso de un desastre.

Establecer un conjunto centralizado de copias de seguridad de todos los

medios de instalacin. Crear y mantener un segundo conjunto de copias
fuera del sitio y actualizarlo regularmente. Almacenar las copias en un
gabinete contra incendios, contra agua y con seguro.
 Bibliotecas fuera del sitio .

Establecer un conjunto centralizado de copias de seguridad de todos los medios de

instalacin.
Crear y mantener un segundo conjunto de copias fuera del sitio y actualizarlo
regularmente. Almacenar las copias en un gabinete contra incendios, contra agua y con
seguro.

Crear una biblioteca centralizada de todos los documentos de prueba de propiedad de

todos sus ttulos de software.

Mantener un segundo conjunto de copias de toda la documentacin fuera del sitio, y

hacer actualizaciones frecuentes.
Mantener esta documentacin en un gabinete contra incendios, contra agua y con
seguro.

Realice copias de seguridad regulares del sistema, y enve copias de las cintas de las
copias de seguridad fuera del sitio.
 Prueba del plan
Retirar y conservar toda la documentacin de prueba de propiedad antes de instalar cualquier software.

Todos los originales deben ser enviados a un depsito fuera del sitio, y las copias se deben conservar a la
mano para su referencia diaria.
Esta documentacin puede consistir en cualquiera o todos los siguientes:

Trminos de Licencia de software de menudeo (tambin conocidos End User License Agreements), o
registros similares

Certificados de autenticidad

rdenes y facturas de compra (incluyendo cualquier devolucin), cajas de software

Registro de transferencia (donde se permita)

Las cajas de software y toda la documentacin original deber conservarse en su instalacin de

almacenamiento fuera del sitio. Como siempre, haga copias de la documentacin, y mantngalas
disponibles en el sitio.
 Revisin integral del plan

Es la evaluacin y revisin del plan por parte del comit

de seguridad de la empresa ya que este plan es la
respuesta prevista por la empresa ante aquellas
situaciones de riesgo que le pueden afectar de forma
crtica .
No importa el tamao de la empresa o el coste de las
medidas de seguridad implantadas, toda organizacin
necesita un Plan de continuidad de negocio ya que
tarde o temprano se encontrar con una incidencia de
seguridad
 Ventana de Interrupcin: El tiempo que una organizacin puede
esperar, desde el punto de falla, hasta la restauracin de
servicios/aplicaciones crticas. Despus de ese tiempo, las prdidas
progresivas causadas por la interrupcin no son aceptables.

Objetivo de prestacin de servicios (SDO): El nivel de servicios a

proveer durante el modo de proceso alterno, hasta que se restaure la
situacin normal. Esto est directamente relacionado con las
necesidades del negocio.

Cortes mximos tolerables: El tiempo mximo que la organizacin

puede soportar procesar en modo alterno.
2.- PRACTICA

1.- Individual: Revisar el documento propuesto (subido a trilce en la

semana que corresponde) Realizar una presentacin en PPT con los temas
que se tratan en la lectura.
2.- Grupal: (Mximo 2 personas). Revisar el caso propuesto en la sesin
anterior.
Proponer un DRP / BCP Segn lo indicado por el docente.
Subir su presentacin a Trilce en la carpeta Practica de la semana 5
GRACIAS

33