1.

CONCEPTOS BÁSICOS DE SEGURIDAD INFORMÁTICA

La seguridad informática consiste en asegurar que los recursos del sistema de información
(Material informático o programa) de una organización sean utilizados de la manera que se
decidió y que el acceso a la información allí contenida así como su modificación solo sea
posible a las personas que se encuentren acreditadas y dentro de los limites de su
autorización

1.1 CIDAN
1.1. Actualmente se considera aceptado que la seguridad de los datos y de la información
comprende 5 principios fundamentales:

Datos:
 Confidencialidad Es decir, no desvelar datos a usuarios no autorizados. Esto
comprende también la privacidad (Protección de datos personales).
 Integridad Permite asegurar que los datos no sean falseados.
 Disponibilidad Que la información se encuentre accesible en todo momento a
los usuarios autorizados.
 Autenticación Es la situación en la cuál se puede verificar que un documento ha
sido elaborado o pertenece a quien el documento dice.
 No repudio Permite probar las partes en una comunicación frente a un tercero.
También se puede llamar irrenunciabilidad

Autenticación
Es la situación en la cuál se puede verificar que un documento pertenece a quién el
documento dice.
Aplicada a la verificación de la identidad de un usuario, la autenticación se produce cuando
el usuario puede aplicar algún modo de que se pueda verificar que dicha persona es quien
dice ser.
La autenticación en la informática se suele hacer con un usuario y contraseña.
Una de las formas de por ejemplo dar verificación de que el correo es mio sería poniendo
la llave pública en el correo , para que al recibirlo pudiera ver que la llave pública es la
mia.

Confidencialidad
Se trata de la cualidad que debe poseer un documento u archivo para que este solo
entienda de manera comprensible o sea leído por la persona o sistema que esté
autorizada.
Un documento es confidencial si y solo si puede ser comprendido por la persona o entidad
a quien va dirigida o esté autorizada. Esto evita que una intercepción de un mensaje pueda
ser leído por una persona no autorizada.

Mecanismos de clave pública

Disponibilidad
Se trata de la capacidad de un servicio de unos datos o de un sistema a ser accesible y
utilizable por los usuarios autorizados cuando éstos lo requieran.

También se refiere a la seguridad que la información pueda ser recuperada en el momento

que se necesite, es decir, evitar su perdida o bloqueo.

La disponibilidad suele ser un factor muy importante en servidores o páginas masivamente

grandes , como puede ser facebook , ya que necesitan mantener la información disponible
las 24 horas del dia los 7 dias de la semana.

Integridad
La integridad es la cualidad que posee un documento que no ha sido alterado y que
además permite comprobar que no se ha manipulado el documento original.
 Hash:Es un proceso de criptografía de una soladirección en la que un texto se comprime
a un codigo de digitos que facilita encriptar por ejemplo , un correo electrónico y al ser de
una dirección solo , si alguien lo intercepta , no puede sacar nada de ese codigo.

Tambien es una forma de dar al destinatario de que el correo no ha sido modificado.

No repudio
Es la irrenunciabilidad, es decir, permite probar la participación de las diferentes partes en
una comunicación.

La diferencia con la autenticación es que la primera se produce entre las partes que
establecen la comunicación y el servicio de no repudio se produce frente a un tercero.

Hay dos posibilidades:

1.No repudio en origen: El emisor no puede negar el envío porque el destinatario tiene
pruebas del mismo. El receptor recibe una prueba infalsificable del origen del envío.

2.No repudio en destino: El receptor no puede negar que recibio el mensaje porque el
emisor tiene pruebas de la recepción.

Un ejemplo de no repudio sería el sistema de mensajería de whatsapp , que tiene un

sistema de cifrado y estamos comunicandonos frente a la empresa de whatsapp , por otra
parte el envio de mensajes serían ambas posibilidades de no repudio , ya que al recibir el
mensaje nos aparece el doble tick y en azul si lo hemos leeido , por lo cual no podemos
negar que hemos enviado el mensaje , pero tampoco pueden negar que lo han recibido.

1.2. AMENAZAS

1.2.1. PERSONAS
No poderlos engañarlo, la mayoría de ataques a nuestro sistema van a provenir en
ultima instancia de Personas que intencionada o inintencionadamente pueden
causarnos enormes perdidas. Generalmente se tratara de piratas que intentan
conseguir el máximo nivel de privilegio posible aprovechando alguno o algunos de los
riesgos lógicos de los que hablaremos a continuación, especialmente agujeros de
software. Pero con demasiada frecuencia se suele olvidar que los piratas "clásicos" no
son los únicos que amenazan nuestros equipos:

a. Personal: Se pasa por alto el hecho de que casi cualquier persona de la

organización, incluso el personal ajeno a la infraestructura informática (Secretariado,
personal de seguridad, personal de limpieza y mantenimiento..) puede comprometer
la seguridad de los equipos aunque los ataques pueden ser intencionados (En cuyo
 caso sus efectos son extremadamente dañinos, recordemos que nadie mejor que el
propio personal de la organización conoce mejor los sistemas..y sus debilidades), lo
normal es que mas que de ataque se trate de accidentes causados por un error o por
desconocimiento de las normas básicas de seguridad.
b. Exempleados: Generalmente se trata de personas descontentas con la organización
que pueden aprovechar debilidades de un sistema que conocen perfectamente,
pueden insertar troyanos, bombas lógicas, virus.. o simplemente conectarse al
sistema.
c. Curiosos: Junto con los crackers, los curiosos son los atacantes más habituales de
sistemas. En la mayoría de ocasiones esto se hace simplemente para leer el correo
de un amigo, enterarse de cuando cobra un compañero, copiar un trabajo o
comprobar que es posible romper la seguridad de un sistema completo
d. Hackers: Es un término general que se ha optimizado históricamente para describir
a un experto en programación. Recientemente este término se ha utilizado con
frecuencia con un sentido negativo, para describir a una persona que intenta obtener
acceso no autorizado a los recursos de la red con intención maliciosa, aunque no
siempre tiene que ser esa su finalidad.
e. Crackers: Es un término mas preciso para describir a una persona que intenta
obtener acceso no autorizado a los recursos de la red con intención maliciosa.
f. Intrusos remunerados: Se trata de piratas con gran experiencia en problemas de
seguridad y un amplio conocimiento del sistema, que son pagados por una tercera
parte generalmente para robar secretos (El nuevo diseño de un procesador, una base
de datos de cliente, información confidencial sobre las posiciones de satélites espía..)
o simplemente para dañar la imagen de la entidad afectada.
1.2.2. LÓGICAS
Amenazas lógicas: Bajo la etiqueta de amenazas lógicas (Encontramos todo tipo de
programas que de una forma u otra pueden dañar a nuestro sistema, creados de forma
intencionada para ello (Software malicioso, también conocido como malware) o
simplemente por error (Bugs o agujeros).

Software incorrecto: A los errores de programación se les denomina "bugs", y a los

programas utilizados para aprovechar uno de estos fallos y atacar al sistema, exploits.

Herramientas de seguridad: Cualquier herramienta de seguridad representa un arma

de doble filo: de la misma forma que un administrador las utiliza para detectar y
solucionar fallos en sus sistemas o en la subred completa, un potencial intruso las
puede utilizar para detectar esos mismos fallos y aprovecharlos para atacar los
equipos. Herramientas como nessus, saint o satan pasan de ser útiles a ser peligrosas
cuando las utilizan crackers que buscan información sobre las vulnerabilidades de un
host o de una red completa.
 Puertas traseras(Backdoors): Durante el desarrollo de aplicaciones grandes o de
sistemas operativos es habitual entre los programadores insertar "atajos" en los
sistemas habituales de autenticación del programa o del núcleo que se esta diseñando

Bombas Lógicas: Las bombas lógicas son partes de códigos de ciertos programas
que permanecen sin realizar ninguna función hasta que son activadas; en ese punto,
la función que realizan no es la original del programa sino una acción perjudicial

Canales cubiertos: Los canales cubiertos (o canales ocultos según otras

traducciones), son canales de comunicación que permiten a un proceso transferir
información de forma que viole la política de seguridad del sistema; Dicho de otra
forma, un proceso transmite información a otros (Locales o remotos) que no están
siendo autorizados a leer dicha información

Virus: Un virus es una secuencia de código que se inserta en un fichero ejecutable

(Denominado huésped), de forma que cuando el archivo se ejecuta, el virus también lo
hace, insertándose a sí mismo en otros programas. Todo el mundo conoce los efectos
de los virus en algunos sistemas operativos de sobremesa como windows; sin
embargo, en GNU-Linux los virus no suelen ser un problema de seguridad grave.

Gusanos: Un gusano es un programa capaz de ejecutarse y programarse a sí mismo

a través de redes en ocasiones portando virus o aprovechando "bugs" del sistema a
los que conecta para dañarlos. Al ser difíciles de programar su número no es muy
elevado pero el daño que pueden causar es muy grande: el mayor incidente de
seguridad en internet fue precisamente el internet worm, un gusano que en 1988 causó
perdidas millonarias al infectar y detener mas de 6.000 máquinas conectadas a la red.

Troyanos: Los troyanos o caballos de troya son instrucciones escondidas en un

programa de forma que este parezca realizar las tareas que un usuario espera de él ,
pero que realmente ejecute funciones ocultas (Generalmente detrimento de la
seguridad) sin el conocimiento del usuario; como el caballo de troya en la antología
griega al que deben su nombre , oculta su función real bajo la apariencia de un
programa inofensivo que a primera vista funciona correctamente.

Bacterias:Bajo este nombre se conoce a los programas que no hacen nada obvio sino
que simplemente se dedican a reproducirse hasta que el numero de copias acaba con
los recursos del sistema (Memoria, procesador, disco..), produciendo una negación del
servicio.

1.2.3.Físicas
Físicas
-Robos , sabotajes: Este tipo de amenaza fisica puede darse cuando una persona no
autorizada intenta o bien coger la información confidencial de algún equipo para su propio
beneficio o beneficio de alguna empresa o bien editar la información.

-Suministro eléctrico: Esta amenaza se da lugar cuando intentan sabotear el suministro

eléctrico para dejar nuestros equipos sin suministro eléctrico o bien por cualquier problema
producido por un cortocircuito entre otros y el caso de ser en una empresa , se crearían
perdidas por cada momento en el que no se puede trabajar.

-Clima: El clima es considerado como una amenaza física ya que en Zonas en las que el
clima es árido o semiárido pueden llegar a crear condiciones desérticas, las cuales pueden
afectar negativamente y pueden ser causadas por Sequías o por la presión de la población.
También las zonas con el clima muy húmedo pueden dar problemas ya que al hacer que los
objetos tengan menor resistencia le dan mayor paso al calor , y eso puede ser un
problema(Sacado de aquí).

-Catástrofes: Por último , están las catástrofes naturales , que no se sabe exactamente
cuando pueden ocurrir , pero que pueden ser devastadoras , ya sea un terremoto , huracán ,
tsunami..
2.Seguridad Física
Consiste en la aplicación de barreras físicas y procedimientos de control como medidas de
prevención y contra medidas ante amenazas a los recursos e información confidencial se aplica
tanto a equipos de hogar y pequeñas oficinas como a servidores y cpds.

Sus principales Amenazas son:

-Ocasionadas por el hombre: Como robos , destrucción de la información o de equipos.

-Desastres Naturales: Alteraciones y cortes del suministro eléctrico, (Incendios, tormentas e

inundaciones).

-Disturbios y sabotajes internos o externos.

2.1.2.Sistemas biométricos
Definimos a la biometria como la parte de la biología que estudia en forma cuantitativa la
variabilidad individual de los seres vivos utilizando métodos estadísticos.Es una tecnología que
realiza mediciones de forma electrónica, guarda y compara características únicas para la
identificación de personas.

La forma de identificación consiste en la comparación de características físicas de cada persona

con un patrón conocido y almacenado en una base de datos.

Ejemplos:Huellas digitales, reconocimiento de voz, ojos, manos, etc.

Beneficios:

-Elimina la necesidad de tener una tarjeta para acceder y de una constraseña difícil de recordar
que alguien puede ver en un papel.

-Los costes de administración son más pequeños ya que solo se realiza el mantenimiento del lector
y una persona se encarga de mantener la base de datos actualizada.
Lo mas importante es ver que las características biométricas de una persona son intransferibles a
otra.

2.1.3.Protección electrónica
Se llama así a la detección de robo , asalto de incendios mediante la autorización de sensores
conectados a centrales de alarmas, barreras infrarrojos y microondas transmiten y reciben haces
de luces infrarojas y microondas , cuando el haz es interrumpido se activa el sistema de alarma.

Ejemplo :

-Detector ultrasonico: Este equipo utiliza ultrasonidos para crear un campo de ondas cualquier
movimiento que realice un cuerpo dentro del espacio protegido creará una perturbación del campo
que activará la alarma. También hay detectores de calor que activan las alarmas.

Circuitos cerrados de televisión (CCTV):

Son monitores y cámaras situados en los lugares estratégicos de acceso.

2.1.4. Condiciones ambientales
Normalmente se reciben por anticipado los avisos de tormenta , tifones y alertas de terremotos.
Las condiciones atmosféricas severas se asocian a ciertas partes del mundo y la probabilidad de
que ocurran está documentada.

Incendios: Es el enemigo número 1 de las computadoras ya que puedes destruir fácilmente

archivos y programas.

Factores a contemplar para reducir los riesgos de incendio:

-No permitir el acceso con mecheros o productos inflamables.
-Limpiar los ordenadores por dentro para evitar que se prendan las pelusas.
-Deben instalarse extintores manuales y automáticos.
-El suelo y el techo deben ser impermeables y con materiales incombustibles.
-No debemos estar cerca de zonas con materiales inflamables , explosivos, etc..

-Sistema de aire acondicionado: Se debe proveer de un sistema de calefacción , ventilación y aire

acondicionado por separado que se dedique solo al cuarto de computadoras y equipos del CPD.
Es recomendable instalar redes de protección por si esos equipos causan incendios.

-Inundaciones: Dejar los enchufes , equipos y instalaciones eléctricas en alto y acondicionar

puertas para detener el agua.

-Terremotos: Existen instrumentos que los detectan con facilidad y suelen ocurrir en zonas
determinadas del mundo.
2.2.Protección física de equipos
Vamos a ocuparnos de proteger los equipos de usuario individualmente, es decir, no vamos a
tratar en este punto los CPD.
2.2.1 Entorno físico de equipos
En el siguiente punto vamos a definir factores de riesgo y medidas preventivas para cuidar los equipos.

Factor Riesgo Medidas preventivas

Espacio

Humedad

Luz solar Sobrecalentamiento

Temperatura ambiente Entre 15 y 25º

Partículas de polvo Limpiar polvo del ordenador

Campos magnéticos Los imanes y electroimanes pueden provocar campos magnéticos

Vibraciones y golpes

Suelos

2.2.2. Instalaciones
Las características de una instalación deben de tener:

-Instalación eléctrica adecuada: Como medidas preventivas debemos de tener las protecciones
eléctricas adecuadas. Por ejemplo los enchufes deben contar con tomas de tierra y la corriente
suministrada debe ser lo mas estable posible para evitar picos de tensión. Por otra parte debemos
de realizar mantenimiento del suministro eléctrico. Es conveniente instalar SAIS para evitar las
anomalías de la corriente eléctrica.

-Instalación de red adecuada: Los equipos estarán conectados a una red de datos y esta a su vez
a una red general. El primer término hay que proteger esta red de accesos no deseados. Como
normalmente las redes son de cable hay que revisar su estado constantemente ya que pueden
estar expuestos a humedad , radiaciones electromagnéticas, etc..

-Control de acceso: Hay que controlar quien entra al ordenador o a la sala.

-Protección frente a incendios: Tenemos sistemas de prevención como por ejemplo detectores de
humo y alarmas, orden y limpieza , etc. y también tenemos sistemas de protección , como por
ejemplo barreras para aislar el incendio, extintores, salidas de emergencia.
2.2.3. Sistemas de alimentación ininterrumpida
SAI: Un SAI es un dispositivo cuya finalidad es proporcionar un suministro eléctrico a los equipos
conectados a el cuando se produce un corte en la corriente eléctrica.
Los SAI no tiene capacidad para suministrar corriente durante mucho tiempo, por ello, no están
pensados para que los equipos conectados a ellos sigan funcionando a pleno rendimiento, sino
que su función es ganar tiempo para realizar un apagado ordenado de los equipos. Ademas de
esta función principal, sirven como estabilizadores de la tensión eléctrica, filtrandola y reduciendo
el efecto nocivo que producen los picos de tensión y el ruido eléctrico.

El uso de estos dispositivos es beneficioso pero por su elevado coste solo se instalaban en grandes
bases de datos, hospitales,etc.. Su uso es imprescindible y ahora existen dispositivos económicos
para cubrir nuestras necesidades.

Tipos de SAI's:

 Offline Pasivos: Se ponen en funcionamiento cuando falla la alimentación eléctrica. Entre

el fallo y su activación se produce un corte de energía muy pequeño que no es detectado
por la mayoría de los equipos conectados a el. Son los mas habituales para proteger
ordenadores domésticos, televisiones, etc...
 Offline Interactivos: Están conectados con la corriente eléctrica y siempre se encuentran
activos. Además de su función principal, disponen de filtros activos que estabilizan la
señal. Son de mejor calidad que los anteriores y se suelen utilizar para proteger equipos
de pequeñas empresas (ordenadores, pequeños servidores, etc...).
 Online: Se colocan entre el suministro normal de corriente y los equipos a proteger,
cumpliendo también con la función de estabilización y filtrado de la señal. Las baterías se
van cargando mientras se suministra energía a os equipos, por lo que, en caso de apagón,
en ningún momento deja de suministrarse energía.

Por que está compuesto un SAI:

Un SAI está compuesto por las siguientes partes o grupos funcionales:

 Bateria y cargador: Son los elementos que almacenan la carga eléctrica que se usará en
caso de necesidad.
 Filtro: Elemento destinado a limpiar la señal.
 Conversor: Es un transformador que convierte la tensión de 12V de su batería en corriente
continua.
 Inversor: Convierte la corriente continua en corriente alterna a 220V.
 Conmutador: Elemento que permite cambiar entre el suministro proporcionado por la red
eléctrica y el generado por la batería del SAI.

Características de los SAI:

Los SAI's tienen dos características que permiten diferenciarlos:

 Autonomía: Es el tiempo que el SAI puede seguir alimentando a u equipo en caso de fallo
eléctrico, se mide en minutos.
  Potencia: Mide el consumo de energía de un SAI y se expresa en dos unidades distintas:
o Watios: Es la potencia real consumida por el dispositivo.
o Votiamperios: Es la potencia aparente, que se halla multiplicando la tensión de la
corriente en voltios por la intensidad en amperios, normalmente, en las
especificaciones técnicas de los SAI, la potencia va expresada en ésta unidad.

2.2.3.1. Problemas de energía

El 50% de los problemas en los equipos y en la perdida de información son debidos a
interrupciones y perturbaciones en el suministro de la red eléctrica. El papel del SAI es suministrar
potencia eléctrica en ocasiones de fallo del suministro en un intervalo de tiempo corto.

Los nueve problemas son:

1. Apagones: Perdida total del suminstro eléctrico causado por relámpagos, exceso de demandas,
etc.

2. Microcortes: Es la caída momentánea del voltaje generada por el arranque de grandes cargas,
encendido de maquinaria pesada, etc.

3. Alto voltaje momentáneo: Son picos de tensión producidos por una rápida reducción de las
cargas. Por ejemplo cuando el equipo pesado es apagado.

4. Bajadas de tensión sostenidas: Pueden ser causados por una reducción intencionada de la
tensión para conservar energía durante periodos de mayor demanda.

5. Subidas de tensión: Son sobrevoltajes en periodos largos. Pueden ser causados por un
relámpago.

6. Ruido eléctrico: Son interferencias de alta frecuencia causadas por radiofrecuencias o

interferencia electromagnética . Pueden ser causadas por transmisores , máquinas de soldar ,
impresoras, etc.

7. Cambio en la frecuencia: Resultado de un generador que se carga y descarga.

8. Micropicos: Caida instantánea del voltaje en nanosegundos.

9. Distorsión armónica: Es causada por cargas no lineales conectadas a la misma red que los
equipos. Como por ejemplo , copiadoras , fax , etc.
2.2.4. SAI
Un SAI es un dispositivo cuya finalidad es proporcionar un suministro eléctrico a los equipos
conectados a el cuando se produce un corte en la corriente eléctrica.

Los SAI no tienen capacidad para suministrar corriente durante mucho tiempo, por ello, no están
pensados para que los equipos conectados a ellos sigan funcionando a pleno rendimiento, sino
que su función es ganar tiempo para realizar un apagado ordenador de los equipos. Además de
esta función principal, sirven como estabilizadores de la tensión eléctrica, filtrandola y reduciendo
el efecto nocivo que producen los picos de tensión y el ruido eléctrico.

El uso de estos equipos es beneficioso pero con su elevado coste solo se instalaban en grandes
bases de datos , hospitales, etc. Su uso es imprescindible y ahora hay equipos económicos que
permiten tenerlo en casa , empresas pequeñas , etc.

Tipos de SAI

Offline pasivos: Se ponen en funcionamiento cuando falla la alimentación eléctrica. Entre el fallo y
su activación se produce un corte de energía muy pequeño que no es detectado por la mayoría
de los equipos conectados a él . Son los más habituales para proteger ordenadores, domésticos ,
televisiones, etc.

Offline interactivos: Están conectados con la corriente eléctrica y siempre se encuentran activos.
Además de su función principal , disponen de filtros activos que estabilizan la señal. Son de mejor
calidad que los anteriores y se suelen utilizar para proteger equipos de pequeñas empresas
(ordenadores , pequeños servidores , etc)

Online: Se colocan entre el suministro normal de corriente y los equipos a proteger, cumpliendo
también con la función de estabilización y filtrado de la señal. las baterias se van cargando mientras
se suministra energía a los equipos, por lo que, en caso de apagón, en ningún momento deja de
suministrarse energía.

Por que está compuesto un SAI:

un SAI está compuesto por las siguientes partes:

-Batería y cargador: Son los elementos que almacenan la carga eléctrica que se usará en caso
de necesidad.

-Filtro: Elemento destinado a limpiar la señal.

-Conversor: Es un transformador que convierte la tensión de 12v de su batería en corriente

contínua.

-Inversor: Convierte la corriente continua en corriente alterna a 220v.

-Conmutador: Elemento que permite cambiar entre el suministro proporcionado por la red
eléctrica y el generado por la batería del SAI.
Características de un SAI:

Los SAI tienen dos características que permiten diferenciarlos:

-Autonomía: Es el tiempo que el SAI puede seguir alimentando a un equipo en caso de fallo
eléctrico. Se mide en minutos.

-Potencia: Mide el consumo de energía de un SAI y se expresa en dos unidades distintas:

- Vatios (W): Es la potencia real consumida por el dispositivo.

-Voltiamperios (VA): Es la potencia aparente que se halla multiplicando la tensión de la

corriente en voltios con la intensidad en amperios. Normalmente , en las especificaciones técnicas
de los SAI , la potencia va expresada en esta unidad.

W= VA x 0.6

2.3. CPD
Hasta ahora solo hemos visto el entorno fisico de los equipos de manera individual en un ámbito
doméstico o de pequeña empresa pero las empresas mas grandes necesitan servidores y otros
dispositivos que realicen el control de todo el parque informático y de comunicaciones.
Estos sistemas que centralizan en bases de datos, servicios de email, gestión de usuarios, etc.
necesitan unas instalaciones físicas y unos requerimientos de hardware que reciben el nombre de
centro de proceso de datos. Los sistemas informáticos a esta escala requieren servidores con
varios procesadores y unidades de disco, sistemas de comunicaciones avanzados (varios routers
, switches , etc.) equipos de alimentación redundantes, dispositivos de copia de seguridad, etc.

Estos equipos deben trabajar a una temperatura ambiente baja (unos 17 o 19 grados) y generan
mucho ruido por lo que deben ser concinados en un espacio físico diferenciado del trabajo con
unas condiciones ambientales y aislamiento térmico y acústico especial por lo que hay que adoptar
medidas de seguridad especiales ya que además tienen que estar operativos 24 horas al día.
2.3.1. Características constructivas y de disposición
A la hora de configurar un CPD habrá que tener en cuenta el tipo de datos que van a manejarse,
número de equipos que se van a tener y su tipología , por ejemplo , el CPD de una mediana
empresa puede ocupar una pequeña habitación mientras que empresas mas grandes edificios
enteros.

Por lo tanto, diferenciamos entre CPD'S edificios dedicados y CPD'S en salas dentro de un edificio.

-Edificio dedicado : Debe encontrarse en una zona lo mas segura posible frente a catástrofes
naturales (incendios, inundaciones, terremotos, incendios, etc.) la zona debe presentar escasa o
nula actividad sísmica o de lo contrario debe contar con características técnicas preparadas para
este tipo de sucesos. Todo el centro de proceso de datos suele rodearse de un encofrado que lo
aisla de fenómenos ambientales externos y asegura sus propiedades ignifugas.

-Ubicación del CPD en una sala dentro de un edificio : Los requerimientos de esta ubicación son
los siguientes :
-Como los CPD se suelen rodear de un encofrado de hormigón, metal o ambos requieren un
reforzamiento importante de la estructura arquitectónica del edificio. La zona donde se ubique el
centro debe soportar el peso de este y por eso no se suelen ubicar en pisos superiores. Sin
embargo, la ubicación en sótanos debe realizarse teniendo en cuenta el mayor riesgo de
humedades y inundaciones para proveer las medidas necesarias para evitarlo.

-El cofre, por dentro, presenta generalmente falso suelo para el cableado y el sistema y el sistema
de refrigeración, así como el falso techo para albergar los sistemas de detección y extinción de
incendios y conducciones extra del sistema de refrigeración.

-Deben tener en cuenta los accesos exteriores, salidas de emergencia, cercanía del material
inflamable o peligroso, etc.

-Habrá que asegurar de que las dimensiones de la aula son las adecuadas, así como la distribución
de la sala en sí, con la presencia de columnas o otros factores que limiten el espacio.

-Debe estar en una zona libre de inundaciones. En caso de que hubiera cierta probabilidad de
humedad dentro de la sala, es necesaria la instalación de equipos especiales para la extracción
de la misma.

-La sala debe de contar con sistemas de control de acceso y presencia que garantizen la seguridad
de la información y equipos

Requisitos de un CPD

-Disponibilidad y monitorización 24x7x365

-Fiabilidad infalible 99.999% de disponibilidad es decir , no más de una hora al año de fallos.

-Seguridad , redundancia y diversificación, es decir, almacenaje exterior de datos, tomas de

alimentación eléctricas totalmente independientes, equilibrio de cargas, control de acceso, SAI,
etc.

-Control ambiental y prevención de incendios.

-Acceso a internet y conectividad a redes de area extensa (WAN).

Algunos detalles de su infraestructura interior:

 -Falsos suelo y falsos techo.

-Doble cableado eléctrico.

-Generadores y cuadros de distribución eléctrica.

-Acondicionamiento de salas con materiales incombustibles.

-Cámaras selladas para que no entre el agua

-Extintores manuales.

-Evitar componentes químicos de extinción por polvo seco

-Paredes resistentes al fuego.

-Instalación de alarmas, control de temperatura y de humedad.

Ejercicios prácticos para poner después:

1.Explica mediante videos como són los CPD de Google, Facebook, interxion, etc. explicando
sus controles de acceso y seguridad, sistemas de eficiencia energética, recursos humanos,
sistemas de refrigeración y como son los servidores, RACKS, cableado, copias de seguridad, etc.
(Inside a google data center, explore a google data center with street view, 24 horas en un CPD
de interxion "youtube")

2.Explica las diferencias entre un SFTP y un FTP

3. Imagina que eres diseñador Web y pretendes alojar a 20 clientes. Busca 3 soluciones de
hosting, comparalas y escoge la mejor.
2.3.2. Sistemas de seguridad del CPD
La sala o edificio dedicado al CPD debe contar con las siguientes mdedidas de seguridad frente a
riesgos:

-Sistemas contra incendios: Tenemos que tener material ignifugo en las salas además de
detectores , extintores , mangueras, etc. Los sistemas mas adecuados son los que usan el agua
como agente extintor y el nitrógeno como agente impulsor (sistemas de agua nebulizada ) frente
a los extintores gaseosos. Además de ser mas respetuosos con el medio ambiente el agua
nebulizada se encarga de eliminar el oxigeno en la zona de contacto directo con la llama asi que
no supone riesgo para las personas
-Sistemas eléctricos: La instalación debe ser óptima para la carga estimada que va a soportar
contando con la previsión del futuro por si hay ampliación.

El diseño de las canalizaciones es fundamental para ajustar los cables y también para evitar caidas
o accidentes por tanto la canalización vertical y horizontal debe realizarse a través de falsos techos
y falsos suelos.

También deben asegurar el aislamiento de las lineas eléctricas frente a interferencias.. Las lineas
eléctricas y las de datos deben ir separadas para evitar interferencias.

Es conveniente en los CPD que cuenten con dos acometidas de potencia diferentes en cada RAC
ya que los servidores cuentan con fuentes de alimentación redundadas , ya que si falla una fuente
puede dejar al servidor sin energía y si se quemara una regleta no dejaría al servidor sin servicio.

Además de los SAI que hemos visto se suele añadir un generador para que el CPD funcione de
manera autónoma si para el suministro eléctrico.
2.3.3. Climatización
No solo consiste en instalar aires acondicionado sino que como es una sala cerrada y llena de
ordenadores que producen calor hay que pensar en algún sistema que elimine todo el calor y
inyecte aire libre de partículas y mantenga las condiciones óptimas de temperatura (17 y 19
grados) y una humedad relativa del 45%.

Existen varias formas de inyectar aire en la sala, por el techo o por el suelo formando los pasillos
frios , de la misma forma, la salidas de aire caliente normalmente de los servidores , se deben
disponer de forma que se puedan direccionar hacia un mismo sitio con el fin de ser recogidos por
extractores. Esto son los pasillos calientes.

Los servidores no incorporan ventiladores, porque serían incapaces de enfriar suficientemente las
temperaturas dada las altas cantidades de procesos hoy en dia , en su lugar llevan disipadores o
turbinas. Su estructura se diseña para que se favorezca al máximo las corrientes de aire desde la
parte frontal hacia la trasera atravesando los disipadores. Las turbinas contribuyen a producir esas
corrientes de aire.
2.3.4. Datos
Un CPD debe tener redes y equipos que deben soportar sistemas de comunicación de alta
velocidad y altas prestaciones capaces de atender tráfico de redes SAN (Storage area networks),
NAS , granjas de servidores , Etc.

Los cables de datos serán tipo ethernet o fibra óptica y estar separados de los cables eléctricos
para evitar interferencias. Deben de estar ocultos en falsos techos y suelos pero ser accesibles
para los técnicos.
2.3.5. Centros de respaldo
A pesar de todas las medidas de seguridad anteriores siempre puede ocurrir o alguna catástrofe
y perder todos los datos del CPD para ello de manera adicional se crean centros o salas de
respaldo que son réplicas mas o menos exactas del CPD diseñadas para que si falla puedan tomar
el control.

La primera medida es separarlo físicamente (unos 20-40 km). En cuanto al diseño y el coste
económico de la réplica hay que tener en mente durante cuanto tiempo los sistemas pueden estar
parados y cuantos recursos estamos dispuestos a invertir para minimizar el tiempo de parada.
Basándonos en estos dos criterios, teniendo en cuenta que las salas no deben ser idénticas
tenemos varias tipológias de centros de respaldo.

-Sala fría: CPD externo con toda la infraestructura necesaria para en caso de contingencia
trasladar todos los servidores y equipos y reinstalar el sistema a partir de copias de seguridad, se
puede tardar 1 semana pero no es más barato.

-Sala caliente: Es un CPD análogo al principal de modo que en caso de contingencia solo hay que
restaurar los datos del último momento. La puesta en funcionamiento es rápida pero su coste
mayor porque cada cambio que haga en el principal lo tengo que replicar en el respaldo.

Mutual Backup: Se llega a un acuerdo con otra organización para hacer un backup mutuo. Cada
organización reserva un espacio de su CPD para los servidores de respaldo de la otra que pueden
estar apagados o encendidos.

Mirror side: Es una evolución de la sala caliente en la que los datos son replicados en tiempo real
de un CPD a otro para lo cual se necesitan redes de alta velocidad y fiables.
3. Seguridad lógica
3.1 Concepto de seguridad lógica
Aunque la protección de los equipos informáticos es muy importante tambien lo es la información
relacionada en ellos. Antiguamente , cuando las organizaciones tenían sus datos en grandes
servidores de proceso por lotes de trabajo, garantizar la seguridad lógica suponía asegurar que
solo tenían acceso fisico al sistema las personas autorizadas (seguridad física) y mantener una
política robusta de copias de seguridad.

Usualmente con la enorme interconexión entre sistemas con la implantación masiva de internet y
redes de datos, el tema de la seguridad lógica se ha convertido en el foco de atención de los
departamentos de tecnología de las empresas , ya que los sistemas pueden ser comprometidos
de forma remota si no los protegemos bien.

Además, como tenemos dispositivos móviles de todo tipo donde realizamos transacciones existen
más mecanismos de protección en la vida cotidiana que pueden ser vulnerados, por ejemplo: Los
códigos PIN del móvil , pagos con tarjeta , las claves del cajero automático o incluso el captcha.

La seguridad lógica es el conjunto de medidas destinadas a la protección de datos y aplicaciones

informáticas así como a garantizar el acceso a la información únicamente por las personas
autorizadas.
Políticas de seguridad corporativa

La primera medida de seguridad lógica que debe adoptar una empresa es establecer unas normas
claras en las que se indique que se puede y que no se puede hacer al operar con un sistema
informático. El conjunto de normas que definen las medidas de seguridad y los protocolos de
actuación a seguir en la operativa del sistema reciben el nombre de políticas de seguridad
corporativa. Son aplicables a todas las empresas, todos los departamentos deben estar implicados
en su elaboración y todos van a tener que cumplirla.

Tenemos las siguientes políticas:

-Instalación, mantenimiento y actualización de los equipos.

-Control de acceso a áreas y recursos críticos de la empresa.

-Utilización de recursos de las redes informáticas.

-Mantenimiento de las redes.

-Adquisición, instalación y actualización de software.

-Privacidad de la información.

-Autenticación de usuarios.

-Información de errores o accesos al sistema.

-Contraseñas.

Algunas de las medidas aplicadas son las siguientes:

-Autenticación de usuarios: Sistema que trata de evitar accesos indebidos a la información,

mediante usuarios y contraseñas.

-Listas de control de accesos: Mecanismos que controlan que usuarios roles o grupos de usuarios
pueden realizar que cosas sobre los recursos del sistema operativo.

-Criptografía: Técnica que consiste en transformar un mensaje comprensible en otro cifrado con
algún algoritmo para evitar que personas no autorizadas accedan o modifiquen la información.
-Certificados digitales: Son documentos digitales identificados por un número de serie único y con
un periodo de validez incluido en el propio certificado mediante los cuales una autoridad de
certificación acredita la identidad de su propietario vinculándolo con una clave pública.

-Firmas digitales: Es el conjunto de datos en forma electrónica consignados junto a otros o

asociados con ellos que pueden ser utilizados como medio de identificación del firmante. Ejemplo:
DNI Electrónico.

-Cifrado de unidades de disco: Medidas que protegen la confidencialidad de la información.

Como en todos los reglamentos , si no se cumplen estas politicas sobre estas medidas pueden
haber sanciones.
3.2.Acceso a sistemas operativos y aplicaciones
Como hemos visto hasta ahora para acceder a una determinada información protegida primero
hay que superar barreras fisicas y después, barreras lógicas. La primera barrera lógica es la
creación de mecanismos de control de acceso a la información por eso una primera medida es
crear usuarios para organizar la información y que cada usuario solo pueda acceder a lo que esta
autorizado.

Las cuentas de usuario asignan derechos y privilegios que restringen operaciones y permiten
rastrear lo que hacen, lo normal es que utilicen un "USER" y una "PASSWORD". No solo hay
usuarios en el sistema operativo, sino que dentro de el también hay aplicaciones con sus distintos
usuarios y permisos.

Si se trabaja en un entorno de red se pueden utilizar determinadas credenciales para acceder a

recursos de la misma, para ello se usan las ACL "Listas de control de acceso".

Y no solo eso, sino que, las redes a través de los routers podemos establecer barreras lógicas a
través de subredes con IP's en distintos rangos.
3.2.1. Contraseñas
Podemos decir que cuanto mas robusta sea la contraseña, mas difícil es acceder a mi información
protegida. Pero por muy fuerte que sea tambien es importante guardarla para que no sea fácil
acceder a ella, por ejemplo revelandola a terceras personas, anotandolas en una libreta al lado del
ordenador, usando post-it en la pantalla, etc.

Por lo tanto, como administradores del sistema hemos de ser muy estrictos a la hora de la fortaleza
de las contraseñas, su almacenamiento y como las comunicamos.

Amenazas para las contraseñas

Cuanto mas robusta sea, mas difícil será averiguarla. Una combinacion de cifras, números y
caracteres hace que sea mas fuerte, pero los humanos tendemos a hacerlas fáciles de recordar,
por lo que se suelen establecer restricciones en las contraseñas.
Existen varios sistemas para averiguar contraseñas:

-Keyloggers: Programas para capturar pulsaciones de un teclado.

-Phising: El phising es básicamente la suplantación de identidad de una página o empresa de

confianza para obtener datos personales a través de ingeniería social.

-Sniffer: Programas que registran la actividad de un equipo informático y pueden interceptar las
comunicaciones para obtener datos.

-Ataques por fuerza bruta: Probar todas las combinaciones posibles de caracteres hasta que
encuentra la clave que permite acceder al sistema. Cuanto mas larga es la contraseña, mas se
protege del sistema.

-Ataques por diccionario: Consisten en generar diccionarios con terminos relacionados con el
usuario y prueba todas esas palabras como contraseñas.

-Ataques por ingenieria social: Consisten en engañar a sus usuarios para que proporcionen sus
contraseñas. Por ejemplo haciendonos pasar por el empleado de un banco, por el servicio técnico
, por un amigo
3.2.2 Listas de control de acceso
Las listas de control de acceso son una herramienta que permite controlar qué usuarios pueden
acceder a las distintas aplicaciones, sistemas, recursos, dispositivos, etc.

A veces hay que realizar un ajuste riguroso en laa seguridad porque no es suficiente con la
creacion de grupos y el uso de perfiles
de usuario. Para estos casos se usan las listas de control de acceso o ACL que su uso varia en
función del sistema operativo instalado,
aunque los fundamentos sean los mismos.

Las ACL son un mecanismo básico para proporcionar seguridad a las redes de datos pudiéndose
utilizar para restringir
y controlar el acceso desde el punto de vista de la red como desde el punto de vista del sistema
operativo para realizar esas mismas tareas sobre distintos recursos del sistema.

Los elementos constitutivos de la red suelen utilizar ACL basadas en direcciones de red, IP o MAC
para configurar
las políticas de acceso o bloqueo de recursos. Mediante el establecimiento de políticas de
seguridad en los firewall que protegen la red, puede
permitirse el acceso desde o hacia solo determinados sistemas, pueden bloquearse todos los
puertos que no vayan a ser necesarios, etc.

Las ACL tambien se aplican masivamente en servicios básicos de red como pueden ser los proxys,
servidores DNS, servidores de correo electrónico, etc.
Algunas ventajas del ACL en redes son:

-La posibilidad de mejorar el rendimiento de la red limitando determinado tráfico, por ejemplo , se
puede impedir que los empleados de una oficina
descarguen o visualicen ficheros de video. Los ficheros de video ocupan mucho ancho de banda
y pueden colapsar la red.

-Posibilidad de permitir o denegar el acceso de equipos a ciertas zonas de la red. Por ejemplo, los
alumnos que utilizan el servidor que proporciona
servicios a su aula no deberían tener acceso al servidor de la secretaría del centro o los empleados
que trabajan en una zona de red no deberían acceder
a la zona de red donde trabaja el personal de administración.

-Permiten que no se ejejcuten determinados comandos por la red destinados a fines

malintencionados, etc.

A cambio presentan el inconveniente de que la exhaustividad en el nivel de control complica

bastante la administración de la seguridad del sistema.
Por tanto , habrá que valorar hasta qué punto las ventajas superan a los inconvenientes en cada
supuesto.

Ahora la configuración de las listas de control de acceso en los distintos sistemas operativos:

En windows

En sistemas windows , las opciones de compartición de recursos van a depender del sistema de
archivos con el que se trabaje. Si FAT32 permitía
la compartición de recursos a todos los usuarios o practicamente a ninguno , NTFS abre un mundo
de posibilidades que permite aprovechar al máximo las
ventajas de la compartición de recursos y la asignación de permisos avanzada. En los discos o
volúmenes formateados con NTFS, cada fichero y cada
directorio tiene una lista de control de acceso o permisos NTFS. Para cada usuario que tiene
acceso a un directorio o a un fichero existe una entrada de acceso
que indica el tipo de operaciones que puede realizar.

Windows distingue dos tipos de privilegios de acceso: Los permisos y los derechos.

El propietario de un recuros asigna permisos sobre dicho recurso a través del cuadro de
propiedades , si se sleecciona la pestaña seguridad se ven los
usuarios que tienen permisos sobre ella.
Los administradores configuran los archivos y privilegios del usuario dentro del sistema a través
de la consola directiva de seguridad local , que se
accede desde el panel de control. Desde ealli también se puede configurar la asignación de los
usuarios a grupos del sistema.

Los permisos sobre ficheros son distintos de los que se pueden aplicar a los directorios pero ambos
tienen un usuario propietario.

Para cada objeto se establece una lista de usuarios y grupos y a cada uno de ellos se les aplican
los permisos pertinentes , la lista se denomina ACL y cada
una de las entradas es una ACE.

En un sistema de red debidamente configurado , el administrador del sistema se encarga de

establecer los permisos, los derechos y los privilegios del usuarios.
Los usuarios normales deberian tener privilegios minimos o nulos dentro del sistema y no se les
debería permitir la realización de acciones como la de
nstalacion de programas o modificaciones en el sistema. Solo deben ser propietarios de sus
directorios de trabajo seguras, etc.

En linux

A veces esto permisos no serán suficientes para establecer restricciones a los usuarios de un
sistema , por eso se usaran los ACL.

Si las ACL estan habilitadas, para activarlas en una partición o directorio hay que añadir la palabra
ACL al final de la linea correspondiente a la partición en el fichero /etc/fstab. Y despues tendríamos
que desmontar y montar la partición.

- Mount -o remount -o acl /dev/sda3/home

Si no están habilitadas tocará descargar el paquete correspondiente

la ACL esta compuesta por varias entradas, los permisos de acceso a un recurso para un usuario
o un grupo, utilizando combinaciones de los permisos tradicionales.

La categoria: Si es usuario , grupo , otros o máscara.

UID o GID , que es básicamente el identificador de usuario o grupo.

La Cadena de los permisos asignados.

Los comandos para trabajar con los ACL en linux son: setfac1 , que sirve para establecer las ACL
y getfac1 que muestra las ACL de un archivo.
El conjunto de la categoria y el identificador del usuario o grupo definen el tipo de entrada.

apt-get install acl para ubuntu

ejemplo:

groupadd jungle
groupadd city

useradd -m -G jungle tarzan

useradd -m -G city jane

en /home directorio llamado mydir con permisos 0770 y luego creamos ficheros docum1 y docum2
con permisos 0770

para asignar permisos usamos setfacl -R -m g:jungle:rwx home/alumno/mydir

3.3 Acceso a aplicaciones por internet
Consejos y normas generales:

-Mantener actualizados tanto el sistema operativo como el navegador y el antivirus.

-Correcta administracion de nombres de usuario y contraseñas del sistema.

-Acceder a las distintas aplicaciones desde un ordenador seguro si los datos son muy sensibles.

-No facilitar por correo ni telefónicamente contraseñas.

-No acceder nunca a través de enlaces a la página de una empresa o organismo publico para
realizar un trámite

-Cerrar la sesión correctamente.

-phising: se trata en suplantar la identidad de una persona o empresa a través de internet, de forma
que puedan obtener las claves y asi obtener propio beneficio.

-https: Es la versión segura de http , usado para transferencias de datos de forma segura.

-Certificados digitales:
Es la certificación que vincula a una persona con unos datos de verificación y de firma para
confirmar su identidad en el mundo digital.
Autoridades de certificación-> Es una entidad de confianza que es la responsable de dar o quitar
los certificados digitales usados en la firma electrónica.
3.4 Alternativas de gestion de identidades
En cuanto a términos de autenticación podemos encontrarnos con el OTP , o One time password,
se usa en sitios que requieren de un sistema de seguridad alto , este tipo de autenticación nos da
una contraseña nueva cada vez que se quiere acceder al sistema.

por otro lado tenemos el hardware token-security token.

Por último tenemos la identificación biométrica.

Autorización de usuarios.

SSO -> Es un tipo de autenticación que habilita a acceder a varios sistemas con una sola
identificació

Sistema kerberos -> Es un protocolo de autenticación para permitir a dos ordenadores en una red
insegura desmotrar su identidad mutuamente de forma segura.

Open ID -> Es un estándar de identificacion con el que un usuario puede identificarse en una
pagina web a traves de una URL.
4. Software malicioso
4.1-Concepto
Malware significa en inglés malicious software. Puede modificar el funcionamiento de un equipo
informático o alterar su información borrandola, modificandola o enviandola a terceras personas
sin permiso por lo tanto es más que un virus ya que puede representar una amenaza resultado
molesto para el usuario.

El malware se propaga a través de dos vulnerabilidades, la primera de ellas son las

vulnearbilidades del software , se trata de explotar las debilidades del sistema operativo o del
programa, para evitarlo, conviene tenerlo todo actualizado y la siguiente vulnerabilidad son las
vulnerabilidades asociadas a las personas.

La mayoría de las veces los usuarios son quienes contribuyen a la propagación del malware, por
desconocimiento o exceso de confianza.

Casi todo el malware desarrollado suele atacar a sistemas de microsoft. Sobretodo por su posición
dominante en el mercado aunque tambien afecta a otros sistemas operativos como Mac OS, linux,
android, etc.
4.2- Clasificación
1- Según la peligrosidad.

Existen 3 niveles, bajo medio y elevado según la gravedad de las acciones, su velocidad y facilidad
de propagación, y la cantidad de infecciones producidas.

En la clasificación, el primero de ellos es el virus.

Según su forma de propagación:

-Virus: Malware cuyo fin es alterar el funcionamiento en equipos sin el consentimiento del usuario
corrompiendo o destruyendo archivos.
Necesita intervención humana para extenderse. Alguien que ejecute el programa ya que el virus
no se propaga automáticamente.

Su principal carácteristica es que cuando se ejecuta se propaga infectando a otros equipos

Su funcionamiento es el siguiente:

-El virus se instala en la RAM , desde donde infecta archivos ejecutables y graba los archivos
infectados en el disco duro. Una vez en el disco el virus se ejecutará cada vez que usemos un
archivo infectado.

efectos de los virus: Pueden ser graves o aparentemente inofensivos, por ejemplo:

-Cambiar carpetas por accesos directos ocultando los archivos originales, modificar el regístro
de windows por ejemplo para evitar el cortafuegos permitiendo a un atacante controlar la máquina.
Su forma de propagación es muy variada, algunos residen en ficheros ejecutables y se dedican a
ejecutarse , otros a enviar mensajeria web , etc.

-Gusanos: Un worm es un malware que se propaga automáticamente sin necesidad de infectar

otros archivos ya que puede duplicarse a si mismo por tanto no requiere intervención humana.

Su mision no es destruir archivos ni equipos, sino consumir recursos de un sistema o red de

comunicaciones hasta saturarlo y provocar su caida.

Desinfectar un gusano es mas fácil que un virus, ya que no modifican archivos, solo cambian
algunos parámetros del sistema como el registro o la lista de programas que se ejecutan al
arrancar el ordenador para, de este modo ejecutarse cuando el usuario inicia el sistema

-Troyanos: Malware que se introduce en un ordenador y se instala en él, pareciendo inofensivo

pero que permite a un usuario no autorizado tomar el control, a diferencia de los virus no infectan
o corrompen archivos, a diferencia de los gusanos , no tiene capacidad para reproducirse
automáticamente ,solo buscan permitir la administración remota.

En este caso el usuario ejecuta un programa infectado que se ejecuta en segundo plano de forma
invisible y instalando troyanos pasando desapercibido.

El cliente que mandas las ordenes desde el equipo atacante al ordenador infectado que tiene
instalado un servidor que recibe las ordenes del intruso, la conexion entre cliente servidor se hace
de dos formas:

-Conexión directa: Es las mas habitual y el cliente se conecta al servidor para enviarle ordenes.

-Conexión inversa: El servidor envia directamente la información al cliente.

¿Cuál de las dos conexiones es más efectiva?
4.3- Acciones
Malicioso

-Spyware: Es un programa de un tercero que recopila información de un ordenador y través de

ella pueden controlar lo que hacemos con nuestro ordenador.

-Adware: Es un programa que realiza spam y publicidad , ya sea por correo electrónico , skype
u otras redes sociales.

-Hijacking: Con este concepto se refieren al método para secuestro o robo de una dirección IP
, entre otras cosas.

-Jokes o bromas: Son básicamente bromas de mal gusto en las que realizan falsos rumores
entre otras cosas.

-Hoaxes: Los hoaxes son bulos o noticias falsas que se suelen rumorear en internet.

Dañino

-Ransomware: Un ransomware es un programa malintencionado que restringe el acceso a

archivos del sistema y pide algo a cambio de quitar la restriccion.

-Rogueware: Es un tipo de malware que hace parecer que tu ordenador tiene algun tipo de
infección y te hacen pagar una suma de dinero para eliminarlo.

-Password stealer:Es un programa ejecutable que tiene la capacidad de robar las contraseñas
de un equipo

-Bombas lógicas:Es una parte de código insertada intencionalmente en un programa que esta
oculto hasta que se cumplen las condiciones pactadas.

-Keylogger/backdoor: El keylogger es un tipo de software especifico que se encarga de registrar

las pulsaciones que se realizan en el teclado para memorizarlas en un fichero o enviarlas por
internet y un backdoor es un programa que se encarga de abrir la puerta trasera de tu sistema
informático.
4.4- Denegacion de servicios
DOS se dfine como la imposibilidad de acceder temporal o permanentemente a un recurso o
servicio por parte de un usuario legitimo, según el origen de los ataque distinguimos los siguientes:

·Ataques internos: Son provocados por usuarios legitimos de la organización, por desconocimiento
o de manera intencionada, provocando la degradación de un recurso o servicio impidiendo su
acceso a todos los usuarios. j. Consumir bando de ancha..
·Ataque externos: El atacante es ajeno a la organización, se aprovechan vulnerabilidades del
sistema como los "Bugs" y la no autenticación de los usuarios.
4.5- Publicidad y Spam
Llamamos correo no deseado a todo correo no esperado para el usuario. En ocasiones se usa ese
correo para mandar virus, etc..

Para facilitar el trabajo algunos antivirus tienen opciones para gestionar el correo no deseado y
bloquear cualquier correo malicioso. Es frecuente que los servicios de correo marquen como spam
los correos mandados en grandes cantidades, como son la publicidad , aunque sean legitimos.

La ley que prohíbe el envio de publicidad no solicitada es la ley 34/2002 del 11 de Julio de Servicio
de la Sociedad de la información y Correo electrónico.
4.6- Ingeniería social y fraude
·Suplantación de identidad:

-Phising: Es el robo de credenciales mediante el uso de una página identica a la original.

-Vishing: Es como el phising pero se utiliza el protocolo de voz sobre ip, la victima recibe una
llamada en la que intenta engaña para dar alguno de sus datos.

-SmiShing:Lo mismo que lo anterior pero con SMS.

-Grooming: El acoso a menores por parte de un adulto, sexualmente hablando.

-Pharming: Suplantar una red a traves del DNS.

Cadenas correos: Correo de reenvio para conseguir correos, etc..

Correos millonarios: Correos electrónicos a usuarios diciendole que deben para un dinero para
ganar 10 veces mas, lo cual es falso.
5.Criptografía
Definiciones:

 Criptología: Se trata del estudio de los criptosistemas, sus dos áreas del estudio son la
criptografía y el análisis.
 Criptografía: Es el arte de escribir con clave secreta o de un modo enigmático, no pretende
ocultar el mensaje (estenografía).
 Criptoanalisis: Ciencia que se ocupa de descifrar criptogramas rompiendo las claves
usadas.
 Criptosistemas: Es un conjunto de claves y equipos de cifrado que ofrecen un medio para
cifrar y descifrar. Se basa en:
o Texto plano (m).
o Texto cifrado o criptograma (c).
o Claves (k).
 o Transformaciones de cifrado (E).
o Transformaciones de descifrado (D).

Los sistemas modernos de criptografía se basan en el uso de las matemáticas y en el uso de

mecanismos de cifrado, actualmente ordenadores.

Los sistemas criptográficos se basan en dos técnicas:

 Transposición: Consiste en que los símbolos del mensaje original se cambian de posición
 Permutación: Consiste en que los símbolos del mensaje original son substituidos por otros.

Hay dos tipos de cifrado:

 Simétricos o de clave pública: Se utiliza la misma clave para cifrar y descifrar el mensaje,
la clave solo debe ser conocida por el emisor y el receptor, debe mantenerse en secreto
y a buen recaudo, si un atacante la descifra el criptosistema se rompe.
o Ventajas:
 Son rápidos , eficientes y mas sencillos que los de clave asimétrica.
 Resultan apropiados para volúmenes grandes de datos.
o Inconvenientes:
 Como la clave la conocen el emisor y el receptor hay que encontrar un
modo seguro de comunicar entre ambos.
 Requiere control estricto sobre el intercambio seguro de la clave.
 Exigen una clave diferente por cada pareja de interlocutores, de modo
que, si hay varios interlocutores, se necesitan varias claves.
 Son vulnerables a ataques por fuerza bruta que consiste en probar todas
las claves posibles, con lo cual la clave no ha de ser fácilmente deducible.
o Algoritmos de cifrado:
 DES:
 AES:
 RC5:
 IDEA:
 Triple DES:
 Rijndael:
 Asimétricos o de clave privada: La principal diferencia con la simétrica es que la clave
usada para cifrar y descifrar son distintas. Se usa una clave privada conocida solo por el
propietario y una publica que se distribuye a todo el mundo. Se usa principalmente para
autenticación y confidencialidad. El remitente cifra con su clave privada y el receptor
descifra con su publica. Se cifra solo un resumen del mensaje.
o Ventajas:
 La clave pública se distribuye libremente.
 Solo es necesario un par de claves por interlocutor por lo que hay menos
claves cuando hay muchos interlocutores
o Inconvenientes:
 Requieren mas tiempo de proceso.
 Los mensajes cifrados son de mayor tamaño que los originales.
 Las claves también son de mayor tamaño.
 Hace falta un esquema de confianza para garantizar la autenticidad de
las claves publicas.
 Quien nos garantiza que la clave publica del interlocutor es suya realmente? Existen varios
mecanismos para autentificar la veracidad de las claves públicas:
o Infraestructuras de clave pública (PKI): Son las que se usan para verificar por
ejemplo certificados, DNI electrónico y otros certificados de la fabrica nacional de
la moneda y timbre.
o Lista de revocación de certificados: Se hace de manera presencial.
o Tipos:
 RSA.
 DSA.
 El Gamal.

5.0 Esquema Criptografía

5.1. Aplicaciones prácticas de la criptografía

En esta unidad mostraremos que usamos la criptografía diariamente y casi sin darnos cuenta, en
muchas de las gestiones que realizamos.

Desde marzo de 2006 se expide en España el DNI electrónico , un documento que contiene un
chip que almacena nuestra información y es capaz de identificarnos ante cualquier entidad sin que
otra persona pueda suplantar nuestra identidad. El DNI electrónico posee mecanismos de
protección que hacen que sea prácticamente imposible falsificar, con lo que podemos estar
convencidos de que la persona que utiliza el DNI es quien dice ser.

En una red insegura , es peligroso asegurarnos de la identidad de una persona o de que la

información a la que accedemos no haya sido modificada por terceros.

por ejemplo, estamos navegando por la página web del fabricante de un producto y que vamos a
descargarnos una aplicación directamente desde allí. ¿Seguro que un atacante no ha modificado
la página web para que los servidores contengan una versión falsa de la aplicación?

Ante estas situaciones , es necesario establecer mecanismos que garanticen la confidencialidad

de las comunicaciones, la identidad de otros usuarios en determinadas situaciones y que la
información no ha sido modificada por terceras personas. En esta unidad estudiaremos la
aplicación práctica de la criptografía y veremos cómo la firma digital y los certificados digitales
permiten evitar que alguien se haga pasar por otra persona mediante técnicas criptográficas, como
el DNI electrónico utiliza la criptografía para identificarnos y evitar que suplanten nuestra identidad,
cómo establecer conexiones seguras a través de redes inseguras o cómo proteger archivos
mediante herramientas de cifrado.
Actividades apartado 1:

¿Has solicitado ya algún certificado digital o posees DNI electrónico? Si es así, ¿Lo has empleado
para realizar algún trámite o gestión ante la administración?

6.Medidas de protección contra el malware

1. Medidas preventivas de protección
-Suites de seguridad
-Cortafuegos
2. Medidas paliativas de protección
-Copias de seguridad
-Congeladores
3. Centros de protección
-CERT
-CSIRT
4.Buenas prácticas para protegerse.

Fallo de seguridad
6.1. Cortafuegos
El firewall es una herramienta que bloquea el acceso a la red , puede ser permisiva o restrictiva ,
en las permisivas se deniega explicitamente el acceso a la red tu dices que aplicaciones pueden
entrar y cuáles no y en las restrictivas por defecto tu bloqueas todo el acceso a la red , luego tienes
que añadir las excepciones manualmente.

Diferencia de firewall de windows y otro

No tiene personalización ni creación de perfiles. y no tiene protección contra exploids y ataques

de DDos.

Los piratas saben como atacar el firewall de windows , por lo cuál es necesario algo mas de
protección.

Tipos de cortafuegos:

-Hay dos tipos , cortafuegos de equipo o de host que estos serían los que se instalan en el
equipo como el software de windows. Analiza todo el tráfico y permite o no el acceso según todas
tus configuraciones.

-Cortafuegos de red o perimetrales. Sería como el cortafuegos de hardware , es el firewall que

corta el acceso a tu red local , no a tu ordenador.

Buenas prácticas para protegerse del malware

Protección Antimalware:

·Instalar una suite, cortafuegos y tenerlos siempre actualizados

·Actualizar siempre sistema operativo y aplicaciones.

·Tener un punto de restauración "Sobre todo navegadores y programas que se conecten a internet"

·Cuentas de usuario: Usar cuentas con privilegios limitados para uso diario y usar la de admin solo
cuando sea necesario.

·Política de contraseñas: Usar contraseñas complejas de descifrar.

·Datos personales y claves: No facilitar datos ni claves ni códigos PIN mediante medios inseguros
como por ejemplo el mail , teléfono , etc.

·En web usar el HTTPS

·Precaución al navegar, detectar webs sospechosas o dudosas.

·eMail : Usar el campo CCO, antivirus, no reenviar sin borrar los eMails, etc.

·Instalacion de aplicaciones: Precaución al instalar programas de internet, sobretodo procedentes

de redes p2p

·Pasar antivirus a los USB.

· Reciclaje constante: Los administradores deben de mantenerse actualizados y al dia

suscribiendose a boletines de seguridad, leyendo noticias , etc.

·Copias de seguridad: Se deben hacer regularmente backups de los documentos importantes

Comparación de antivirus.
Antivirus AVG Antivirus Avira
Protección de virus en tiempo real ✓ ✓
Protección contra malware ✓ ✓
Consume bajos recursos ✓
Permite reparar borrar y denegar Acceso ✓ ✓
a virus
Ofrece soporte para servidor ✓ ✓
Permite analizar CD/USB ✓ ✓
 Permite actualizaciones y escaneos ✓
programados

Desde mi opinión , ambos antivirus son muy completos , con precios relativamente asequibles
, el AVG con la versión ilimitada el precio es de 54.99€ para particulares, en empresa el precio
sería de 28.42€, pero tan solo para 1 ordenadorl. El Avira en versión para particulares el precio es
de 44.95€ y en la versión para empresas 88.08€ , con una posibilidad de tenerlo en hasta 3
ordenadores.

Software congelador
El software congelador es un software especial del tipo de inicio y restaure. Cuando se instala,
permite congelar el estado del equipo en un momento determinado. Con la configuración y
contenidos exactos que el equipo tenía en ese momento. En inglés se denomina freezer. La
congelación se utiliza en ordenadores donde acceden muchas personas como cibers, aulas.
Los beneficios son:

Se contribuye al anonimato de los usuarios, al borrarse cookies, historial, contraseñas, etc. Y por
otra parte se protege frente a infecciones de software malicioso ya que cuando se restaura se
elimina el software infectado. Hay que tener en cuenta que si congelamos no se actualizan los
programas ni el sistema operativo.

El mas conocido en windows es dep freeze.

7.Gestión de almacenamiento
Dispositivos de almacenamiento.

Si atendemos al medio usado para el almacenamiento tenemos:

Medios magneticos: Discos duros, disquetes, cintas..

Medios opticos: CD, DVD, Blu-Ray.

Memorias de estado solido: Memorias flash , tarjetas de memoria y discos SSD.

Otra clasificación podría ser: Dispositivos locales, conectados directamente al equipo y dispositivos
externos entre los que encontramos servicios de almacenamiento remoto y los dispositivos de
almacenamiento externo "Nash"

Existen varios tipos de clonación:

·Disco a disco: Se copia todo el contenido de un disco a otro compatible. "Interno o externo"
 ·Partición a partición: Se copia de una partición a otra. que puede estar en el mismo disco , o
en otro. Si se guarda en el mismo disco con un gestor de arranque se puede arrancar cualquiera
de los dos sistemas.

·A archivo de imagen: Se copia el disco o una partición en un archivo el cuál puede guardarse
en cualquier medio como un cd,dvd etc.

Recuperación de datos eliminados:

Puede ocurrir que tras actualizar un nuevo controlador o un nuevo programa el equipo empieze
a comportarse de manera extraña, en este caso en lugar de clonar o restaurar el sistema a partir
de una copia de seguridad se suele recurrir al punto de restauración. Lo principal es que ocupan
mucho espacio con lo que tenemos que hacer un uso moderado de ellos

Son muy útiles pero a veces no podemos ni arrancar el sistema operativo y no se pueden usar asi
que tenemos que utilizar alternativas como el modo a prueba de fallos que arrancar con el F8.

Puede ocurrir tambien que un virus borre algun disco USB, etc. y no tenemos copia de seguridad,
en este caso , hay 2 opciones.
Opción 1: Utilizar software de recuperación de datos, por ejemplo: Getdataback
Opcion 2:Llevarlo a una empresa de recuperación de datos.

Tenemos un disco duro de 500 GB en la empresa con información muy relevante y se ha

estropeado. Busca en internet empresas que se encarguen de recuperarlo indicando precio y
tiempo de entrega.
Descarga el software Getdataback "en el usb a ser posible o en una unidad distinta al disco que
se quiere involucrar". Crea una carpeta de recuperación.

Almacenamiento externo
Nash: Nash es una tecnología de almacenamiento accesible desde la red, permite ampliar la
capacidad del sistema sin necesidad de añadir servidores. Son dispositivos de almacenamiento
accesibles a través de protoclos de red como el TCP/IP. Los sistemas nash ofrecen realizar
backups, compartir archivos, capacidad de expansión al poder añadir mas dispositivos.

SAN "Storage area network": Esta tecnología crea una red especializada para conectar los
servidores, los discos de almacenamiento y otros elementos necesarios usando normalmente fibra
óptica. Su traducción es red de area de almacenamiento. Busca una imagen en internet sobre una
SAN.
Clonezilla
Descarga una copia del clonezilla y traelo en un CD.
Copias de seguridad
Tipos de copias de seguridad:

·Completas: Se copian todos los archivos.

·Diferenciales: Se copian solo los archivos modificados después de la ultima copia de seguridad.

·Incremental: Se copian solo los archivos que se han modificado tras la última copia completa o
diferencial.

La realización de copias de seguridad necesita una planificación que debe tener en cuenta varios
aspectos:

·Que datos incluir en la copia: Directorios, bases de datos, ficheros..

 ·Frecuencia de modificación de datos: No es lo mismo hacer copia de ficheros que varian
mensualmente que diariamente.

·Frecuencia de la copia de seguridad: Hay que tener en cuenta que necesitamos la ultima copia
completa y todas las incrementales o diferenciales para hacer una copia nueva. Por tanto, para
datos muy cambiantes no conviene retrasar la copia mas de una semana.

Tipos de datos:

·No es lo mismo hacer copias de registros de bases de datos, que una base de datos completa.

·Uso de los datos durante la realización del backup

·Hay sistemas que no pueden detenerse para hacer la copia de seguridad en frio por lo que
precisan sistemas que permitan hacer respaldo al vuelo "En caliente". Normalmente se hacen por
la noche porque hay menos actividad.

·Tiempo requerido para la recuperación de los datos: Hay información critica que en caso de
fallo necesita ser accesible al instante.

Politica de retención:

Es el tiempo que se conserva en backup. Por ejemplo , se puede hacer un backup diario con
retención de 15 días.

Software para hacer copias de seguridad: HP, Data protector, tivoli storage manager.
Gestión de imagenes del sistema.
No hay que confundir la creación de imagenes con las copias de seguridad. La creación de una
imagen consiste en la realización de una copia exacta o partición de un disco, es decir, una copia
de la estructura del contenido del disco en uno o varios archivos que además son comprimidos.
Para restaurar la copia, vas a transferir esa estructura y contenido del disco a otro equipo con las
mismas características hardware.
Software de copias de seguridad
Busca una herramienta de copias de seguridad en softonic , y otra en osi utiles gratuitos.

Softonic: Cobian Backup

Osi: Syncback

Programa multitarea capaz de crear copias de seguridad en un equipo, red local o incluso en un
FTP. Se ejecuta sobre windows y consume muy pocos recursos "Tambien se puede poner en
segundo plano".
Tecnologías de almacenamiento reudundante y distribuido
Se conoce como RAID a la utilización de varios discos sobre los cuales se distribuyen los datos y
alguna información adicional. Su finalidad es mejorar la tolerancia a fallos y la integridad de los
datos , aumentar la capacidad de almacenamiento y el rendimiento de lectura-escritura. El RAID
es transparente al sistema operativo que solo ve un disco lógico. Su tecnología usa la técnica de
dividir el espacio de cada disco en bandas: Almacena los datos junto a la información de control
que permite que los fallos de disco pasen inadvertidos y que la recuperación de datos sea
automática al reemplazar el disco averiado en el RAID.

Existen varios niveles de RAID en función del número de discos, número de bandas, tamaño de
las bandas y la redundancía almacenada en ellas.

La mayor parte de los servidores actuales incorporan una controladora de hardware que establece
un RAID entre los discos del servidor mediante hardware.
8.Seguridad en redes
8.1 Vulnerabilidades de los sistemas en red
Las vulnerabilidades de este nivel estan relacionadas con el acceso fisico no autorizado a los
servicios en red.

Algunos ejemplos son:

Cortar un cable
Cargarse el cable de alimentación
Interferencias electromagnéticas
Nivel de enlace de datos
Se encarga del redireccionamiento físico, acceso al medio , detección de errores, distribución
ordenada de trama y control de flujo. Algunos ataques son:

·Escuchas de red:Tanto pinchando un cable como en medios inalámbricos

·Falsificación de direcciones MAC

 ·Envenenamiento ARP: El envenenamiento en la red es el ataque "Man in the middle".

Nivel de red:
Proporciona conectividad entre equipos aunque se encuentren en redes diferentes.

Gracias a equipos como routers y el protocolo IP, este nivel presenta vulnerabilidades asociadas
a la integridad y confidencialidad de la información.

Se pueden dar los siguientes ataques:

·IP Spoofing o suplantación de mensajes. El atacante envia paquetes utilizando una dirección
de origen diferente modificandola por una IP falsa o de otro equipo legítimo de la red.

Denegación de servicio "DOS": Los atacantes inundan la red generando un tráfico elevado de red
hacia la victima saturando la comunicación

Nivel de transporte
Los protocolos TCP/IP permiten información sobre paquetes IP, las vulnerabilidades se asocian a
la autenticación integridad y confidencialidad. Algunos ataques son :

Denegación de servicio "DOS" por ejemplo , con el SIN flooding evitamos que se establezca una
conexión TCI. El servidor desperdicia recursos manteniendo conexiones que no serán utilizadas

Ataque contra establecimiento de conexiones TCP: Consiste en interceptar sesiones TCP

establecidas y redirigidas a otros equipos.

Ataques de reconocimiento: Consiste en realizar barridos de puertos TCP/UDP contra un equipo

y averiguar que aplicaciones y puertos está utilizando para realizar un ataque a esos servicios que
tiene activos.

Niveles de sesión, presentación y aplicación: Los mas cercanos al usuario, desconocen la forma
física en la que se comunican los equipos, presentan vulnerabilidades y afectan a la
confidencialidad. Integridad, disponibilidad, no repudio y autenticación. Ejemplos: ataques sobre
confidencialidad, algunas aplicaciones envían información sin cifrar, por lo que un atacante puede
obtener las claves de sesión escuchando la red.

 Pharming: Cuando se solicita una petición sobre un equipo remoto se debe conocer su ip,
para ello enviamos un paquete UDP al servidor DNS para que nos de su IP, en este ataque
se suplanta al servidor DNS suministrando una ip falsa de modo que se puede acceder a
una web falsa parecida a la legitima para obtener datos y contraseñas.
 Agotamiento de IPs: Enviamos muchas peticiones al servidor de DHCP con diferentes
direcciones fisicas de origen, de este modo, se obtienen IPs distintas cada vez hasta que
se agoten.
  Injección SQL: Ejecutamos codigo SQL sobre una base de datos aprovechando
vulnerabilidades de una web, de este modo podemos borrar datos o visualizarlos cuando
están ocultos, por ejemplo contraseñas.
 Escalada de directorios: Es acceder a directorios a los que no deberiamos de tener
acceso, por ejemplo una carpeta de joomla o de wordpress.
 XSS: Que es "Cross Site Scripting", consiste en inyectar código malicioso en webs.
 Desbordamiento de buffer: Se aprovecha algún fallo de la aplicación para ejecutar
malware malicioso en el pc de la victima.

Ataques de denegación de servicio en redes: Son los mas conocidos a nivel de red y transporte,
son a ataques TCP/IP, y tenemos gran variedad, por ejemplo:

 Inundación IP: Envio de trafico masivo para degradar los servicios de red consumiendo
mucho ancho de banda, se soluciona con mecanismos de control de acceso al medio,
limitando el ancho de banda.
 Falsificación de la IP origen: IP Spoofing, existen de dos tipos:
o Broadcast: Se falsea la IP origen del atacante poniendo la de difusión o broadcast.
o Smurf: Igual que el anterior pero se enian paquetes broadcast a la IP de la victima,
que se saturará.

La mayoria de estos ataques son distribuidos, es decir, desde varios equipos, obteniendo mayor
impacto.
Seguridad en redes inalámbricas
Todas las redes inalámbricas pierden la seguridad que ofrecen las lanes dado que es posible
acceder a ellas sin necesidad de acceso al entorno fisico. Para proteger los datos que viajan por
el entorno aéreo los routers ofrecen difrentes encriptaciones, los mas importantes son:

-WEP: Es la encriptacion que traen por defecto los routers. Esta tendencia esta cambiando
debido a la facilidad con la que puede romperse. Usa estructuras de 64 y 128 bits. Se puede
romper de forma sencilla con fuerza bruta. Utiliza un mecanismo de cifrado RC4.

-WPA: Este protocolo lo hace mas completo el mecanismo de seguridad ya que introduce el
estándar 802.11i, una versión mejorada al RC4 y la incorporación de otro mecanismo de seguridad
como TKIP y algoritmo AES. Mejora la rotación de las claves. Hay dos tipos de WPA, el WPA para
empresas y el WPA para particulares.

-WPA2:Es la versión siguiente y es la mas completa ya que cumple con el protocolo de seguridad
IEEE 802.11 que se aplica a los dos primeros niveles de OSI. (Nivel fisico y enlace de datos).
Aparte de protocolo de seguridad implementa el cifrado robusto AES (Advanced encryption
standart). Existen 2 tipos de WPA:
-WPA2 Personal(PSK): Utiliza una contraseña por cada cliente. Es la opción mas
recomendada para ordenadores domésticos.
 -WPA2 Enterprise: Proporciona una mayor flexibilidad para gestionar o utilizar un
mecanismo de autenticación ya que se utiliza un servidor de contraseñas aleatorias cuyo nombre
es servidor radius.
Tecnicas de proteccion

 Cortafuegos:Parte de una red diseñada para bloquear el acceso no autorizado,

permitiendo comunicaciones autorizadas.
 IP Tables:Es una herramienta de cortafuegos que permite no solamente filtrar paquetes,
sino también realizar traducciones de direcciones de red (NAT) para IPv4.
 Zona desmilitarizada (DMZ):Es una zona segura que se ubica entre la red interna y la red
externa y permiten ubicarse servidores web y demás ahi , para evitar ataques externos.
 Detectores de intrusos (IDS):Es un programa de detección de accesos no autorizados a
un ordenador o red.
 Proxys: Es un servidor que hace de intermediario entre el cliente que usa el proxy
 Gestión unificada de amenazas(UTM): Una sola solución de seguridad, y por lo general
un único producto de seguridad, que ofrece varias funciones de seguridad en un solo
punto en la red.

9.Normativa sobre seguridad y protección de datos

La normativa sobre protección de datos está en: Ley orgánica 15-1999 de 13 de
Diciembre:(LOPD)

Real decreto 1720-2007 de 21 de diciembre por el que se aprueba el reglamento de desarrollo de

la ley orgánica anterior.

Esta normativa con el ánimo de proteger a las personas físicas detalla:

-Como se tienen que obtener los detalles de carácter personal

-Como se tienen que conservar.

-Si pueden cederse o no a terceros.

-Si las empresas pueden remitir a las personas físicas correspondencia no solicitada.

-Cuales son los derechos para acceder a nuestros datos.

-Como y cuando podemos modificarlos o cancelarlos.

Las sanciones son bastante severas.

Según la LOPD los datos de carácter personal son cualquier información concerniente a personas
fisicas identificadas o identificables.

Por ejemplo:
 -Nombre, apellidos, DNI, fotos, etc.

-Circunstancias sociales y personales (Estado civil, Raza, religión)

-Datos sanitarios (Expediente medico, enfermedades).

-Datos profesionales o academicos (Expediente laboral, titulación..)

-Datos comerciales (Solvencia)

Que es el tratamiento de datos:

Engloba todas las operaciones que se llevan a cabo con los datos como puede ser la recogida,
el almacenamiento, la modificación y cancelación de los datos y las cesiones, por lo tanto las
personas cuyos datos esten sometidos a tratamiento , tienen estos derechos:

-Requieren vuestro consentimiento que podrá ser revocado

-Consultar gratuitamente en el registro general de protección de datos sobre su existencia.

-Acceso , rectificación y cancelación de esos datos.

-Derecho a indemnización cuando se sufra daño o lesión en los bienes (Si se incumple)

-Recogida de los datos.

Cuando las empresas solicitan datos a personas en un formulario de papel o un cuestionario ,

deben informar previamente de:

-La existencia del fichero y su finalidad.

-Identidad y dirección el responsable.

-Derechos del afectado (Acceso, rectificación, cancelación..)

-Consecuencias de la negativa a facilitarlos.

Existe una protección especial para datos como ideología, religión, afiliación sindical, salud, vida
sexual, infracciones penales o administrativa, etc.

Conservación de los datos:

El responsable de los ficheros debe garantizar su seguridad evitando su alteración, perdida o

acceso no autorizado.
Cuando los ficheros de la empresa contengan datos personales, esta tiene la siguientes
obligaciones:

-Inscribirlo en la sociedad de protección de datos

-Informar a los afectados de ese fichero o archivo donde estan sus datos.

-Explicar la finalidad y solicitar consentimiento.

-No ceder datos sin consentimiento.

-Guardar secreto y confidencialidad de los datos.

-Adoptar las medidas de seguridad exigidas por legislación.

-Permitir a los titulares rectificar , cancelar , oponerse, etc.

Existen según la ley 3 niveles de seguridad:

-Básico: Se aplicarán las siguientes medidas: Deberá redactarse el documento de seguridad.

Este documento formal recoge la formativa de seguridad de la empresa con todas las medidas de
seguridad y confidencialidad para la protección de datos personales.

Ejercicio: Buscar en internet y descargar una plantilla o documento de seguridad e indicar los
puntos que debe de tener.

Debe existir un procedimiento de notificación y gestión de las incidencias que afecten a estos datos
personales.

Sus usuarios tendrán acceso únicamente a los recursos y datos necesarios para el desarrollo de
sus funciones.

La creación y salida de soportes como CDs DVDs o Pendrives debe ser autorizada.

Los usuarios con acceso a datos deben estar perfectamente identificados con contraseñas

Deben de hacerse copias de seguridad con frecuencia semanal

-Medio: Se aplica a archivos que contengan:

Datos sobre infracciones administrativas o penales
Información de la hacienda pública o de servicios financieros
En este nivel las medidas de la empresa incluyen las del nivel básico.
Designar uno o varios responsables del fichero.
Los ficheros se someterán cada 2 años a una auditoria de seguridad
Se establecerán registros de entrada y salida de los soportes
Establecer mecanismos para limitar el acceso no autorizado reiteradamente
Solo el personal autorizado puede acceder a los lugares físicos donde están los datos o los
soportes
Hay que registrar los procesos de recuperación de datos.

-Alto: Se aplica a archivos que contengan:

Ideología, Religión, Creencias, Raza, Salud, Vida sexual, Incluso los relativos a violencia de
género.

Se aplican las medidas del nivel medio y además:

Las copias de seguridad deben guardarse en un lugar distinto a los equipos que contienen los
datos copiados.
Registro de accesos a los datos en todo momento.
Los soportes deben estar cifrados del mismo modo que la transmisión de datos por redes , es
decir, los soportes, cds o dvd y las transmisiones de datos por internet deben estar cifradas.

LSSI - Ley de Servicio de la Sociedad de la Información

Esta ley tiene por objetivo determinar el régimen jurídico aplicable a los servicios de la sociedad
de la información, es decir, aquellos servicios que se prestan telemáticamente o que se apoyan
en plataformas de telecomunicaciones para su difusión y que suponen una actividad económica
para la empresa, entidad o individuo que los presta.

Supuestos de sociedad de la comunicación:

- La contratación de bienes y servicios por vía electrónica.
- El suministro de información por dicho medio.
- Las actividades de intermediación relativas a la provisión de acceso a la red.
- La transmisión de datos por redes de telecomunicación.
- La realización de copia temporal de las páginas de Internet solicitadas por el usuario.
- El alojamiento en los propios servidores de información, servicios o aplicaciones facilitados por
otros o a la provisión de instrumentos de búsqueda o de enlaces a otros sitios de Internet.
- Cualquier otro servicio que se preste a petición individual de los usuarios, siempre que
represente una actividad económica para el prestador.

Esta ley obliga a informar a los usuarios de diversos aspectos relacionados con los servicios que
se les están prestando por vía electrónica. Esta información se adapta al servicio que se preste.

Información general que debe incluir toda web que suponga una actividad económica:
- El nombre o denominación social del prestador de los servicios, su residencia, dirección de
correo electrónico y cualquier otro dato que permita establecer con él una comunicación.
- El número de identificación fiscal que corresponda.
 - Los datos de inscripción del prestador en el Registro Mercantil o en otro registro en el que debiera
estar inscrito.
- Los códigos de consulta a los que esté adherido el prestador y la forma de consultarlos
electrónicamente.
- Si la actividad estuviera sujeta a autorización administrativa, los datos referentes a la misma.
- Si la actividad hiciera referencia a una profesión regulada, datos de colegio profesional, título
oficial con el que cuente el prestador, país en el que expidió ese título, etc.
- Cuando el servicio de la sociedad de la información haga referencia a precio, se facilitará
información clara y exacta sobre el precio del producto o servicio, indicando si incluye o no los
impuestos aplicables y, en su caso, sobre los gastos de envío.

Información que se debe añadir, además de la general, si se va a realizar una contratación:

- Los distintos trámites que deben seguirse para celebrar el contrato.
- Si el prestador va a archivar el documento electrónico en que se formalice el contrato y si este
va a ser accesible.
- Los medios técnicos que pone a su disposición para identificar y corregir errores en la
introducción de los datos.
- La lengua o lenguas en que podrá formalizarse el contrato.

Información sobre seguridad y privacidad para las empresas que presten servicios de acceso a
Internet:
- Los medios de carácter técnico que aumenten los niveles de la seguridad de la información y
permitan, entre otros, la protección frente a virus informáticos y programas espía, y la restricción
de los correos electrónicos no solicitados (spam).
- Las medidas de seguridad que apliquen en la provisión de los mencionados servicios.
- Las herramientas existentes apara el filtrado y restricción del acceso a determinados contenidos
y servicios en Internet no deseados o que pedan resultar nocivos para la juventud y la infancia.

Información sobre comunicaciones comerciales realizadas por vía electrónica deben:

- Incluir al comienzo del mensaje la palabra "publicidad".
- En los supuestos de ofertas promocionales deben obtener la autorización previa del destinatario
y las condiciones de acceso y participación deber ser fácilmente accesibles y expresarse de forma
clara e inequívoca.