4.5 Actualizaciones de software

                 


Las actualizaciones se comercializan por producto. En cada producto, las actualizaciones se diferencian por la clasificación.

Un producto es una edición específica de un sistema operativo o aplicación (por ejemplo Microsoft Windows Server 2003, Datacenter Edition). Una familia de productos es el sistema operativo o la aplicación de base de la que se derivan los productos. Un ejemplo de una familia de productos es Microsoft Windows, de la que Microsoft Windows Server 2003, Datacenter Edition, es miembro.
La clasificación de la actualización representa el tipo de actualización. Para un producto o una familia de productos dada, las actualizaciones podrían estar disponibles entre varias clasificaciones (por ejemplo, las actualizaciones críticas y las actualizaciones de seguridad de la familia de Windows XP). Para ver las definiciones de clasificaciones de actualización, consulte Descripción de la terminología estándar que se usa para describir las actualizaciones de software de Microsoft.

Una actualización es una revisión o reemplazo completo del software que está instalado en un equipo. Cada actualización disponible en Microsoft Update consta de dos componentes.
Los metadatos ofrecen información acerca de la actualización. Por ejemplo, los metadatos suministran información correspondiente a las propiedades de una actualización, incluido a qué producto y plataforma es aplicable, si es una actualización nueva o revisada y qué idiomas desea descargar. Los metadatos incluyen también contratos de licencia para el usuario final (CLUF). El paquete de metadatos descargado para una actualización es normalmente mucho más pequeño que el paquete verdadero del archivo de actualización.
Los archivos de la actualización son los archivos binarios verdaderos de la actualización, instalados en un equipo.
Cuándo las actualizaciones se sincronizan con su servidor WSUS, los archivos de actualización y los metadatos se almacenan en dos ubicaciones separadas. Los metadatos se almacenan en la base de datos de WSUS. Los archivos de la actualización se pueden almacenar en su servidor WSUS o en los servidores de Microsoft Update, en función de cómo haya configurado las opciones de almacenamiento de contenido a través de la consola de WSUS.

Las actualizaciones son adiciones al software que pueden evitar o corregir problemas, aumentar la seguridad del equipo, o bien mejorar el rendimiento de éste. Recomendamos encarecidamente que active las actualizaciones automáticas de Windows para que Windows pueda instalar actualizaciones de seguridad y otras actualizaciones importantes y recomendadas para el equipo a medida que estén disponibles.
Muchos editores de software envían una notificación al usuario cuando está disponible una versión nueva o una actualización de un programa. Para saber si puede suscribirse a algún servicio de soporte del producto o configurar un programa para que instale actualizaciones automáticamente, consulte la ayuda del programa o visite el sitio web del editor del software.

http://www.alcancelibre.org/article.php/20110727132401860

4.4 Código de seguro

                               

El Código Seguro de Verificación de documentos o CSV es un conjunto de dígitos que identifica de forma única los documentos electrónicos emitidos por el Instituto Nacional de Estadística.

El CSV se encuentra impreso en todas las páginas que componen un documento electrónico y posibilita el cotejo, a través de la Sede Electrónica del INE, de un documento impreso con el correspondiente documento electrónico original, convirtiéndolo así en una copia auténtica.

Puede utilizar este servicio para comprobar la autenticidad de documentos en papel con CSV emitidos por el Instituto Nacional de Estadística. Para ello debe introducir el código CSV que figura en el documento; la Sede Electrónica del INE le mostrará el documento original y podrá constatar su veracidad y que no ha sido alterado. 

• Artículo 18.1.b)
  • "Código seguro de verificación vinculado a la Administración Pública, órgano o entidad y, en su caso, a la persona firmante del documento, permitiéndose en todo caso la comprobación de la integridad del documento mediante el acceso a la sede electrónica correspondiente"
• Artículo 30.5
• "Las copias realizadas en soporte papel de documentos públicos administrativos emitidos por medios electrónicos y firmados electrónicamente tendrán la consideración de copias auténticas siempre que incluyan la impresión de uncódigo generado electrónicamente u otros sistemas de verificación que permitan contrastar su autenticidad mediante el acceso a los archivos electrónicos de la Administración Pública, órgano o entidad emisora."

En el ámbito privado, el CSV lo utilizan los Prestadores de Servicios de Confianza Digital (en terminología acuñada por el Reglamento Europeo UE 910/204) para identificar documentos electrónicos auténticos accesibles a través de sus sistemas de Custodia Digital. Los documentos en papel que contienen transcripciones de documentos electrónicos suelen denominarse "albalá" o Copia Constatable si figura en ellos el Código Seguro de Verificación (CSV)

http://es.wikipedia.org/wiki/C%C3%B3digo_Seguro_de_Verificaci%C3%B3n

4.3 Malware

                                

En pocas palabras, el malware es un software, un programa de computadora utilizado para llevar a cabo acciones maliciosas. El término malware es una combinación de las palabras software y malicioso. El objetivo final de la mayoría de los cibercriminales es instalar malware en las computadoras o dispositivos móviles. Una vez instalados, estos atacantes pueden obtener potencialmente el control completo sobre ellos. Mucha gente tiene la idea errónea de que el malware solo es un problema que se presenta en las computadoras Windows. Mientras que Windows es ampliamente utilizado, el malware puede infectar a cualquier dispositivo informático, incluyendo teléfonos inteligentes y tabletas. De hecho, la prevalencia de software malicioso que infecta los dispositivos móviles es cada vez mayor. Además, recuerda que todo el mundo puede ser blanco de este tipo de ataques. Para los ciberdelincuentes, entre más computadotas logran infectar, más ganancias obtendrán. Por lo general, a los atacantes no les importa a quién infectar, sino a cuántas .personas puedan alcanzar 

El malware , también llamado badware, código maligno,software malicioso o software malintencionado, es un tipo de software que tiene como objetivo infiltrarse o dañar una computadora o sistema de información sin el consentimiento de su propietario. El término malware es muy utilizado por profesionales de la informática para referirse a una variedad de software hostil, intrusivo o molesto. El término virus informático suele aplicarse de forma incorrecta para referirse a todos los tipos de malware, incluidos los virus verdaderos.

El software se considera malware en función de los efectos que provoque en un computador. El término malware incluye virus, gusanos, troyanos, la mayor parte de los rootkits, scareware,spyware, adware intrusivo, crimeware y otros softwares maliciosos e indeseables.

Malware no es lo mismo que software defectuoso; este último contiene bugs peligrosos, pero no de forma intencionada.

Los resultados provisionales de Symantec publicados en el 2008 sugieren que «el ritmo al que se ponen en circulación códigos maliciosos y otros programas no deseados podría haber superado al de las aplicaciones legítimas.  Según un reporte de F-Secure, «Se produjo tanto malware en 2007 como en los 20 años anteriores juntos».

Según Panda Security, durante los 12 meses del 2011 se crearon 73.000 nuevos ejemplares de amenazas informáticas por día, 10.000 más de la media registrada en todo el año 2010. De éstas, el 73 por ciento fueron troyanos y crecieron de forma exponencial los del subtipo downloaders.

http://aprenderinternet.about.com/od/SeguridadPrivacidad/a/Que-Es-Malware.htm

4.2 Seguridad en banda ancha

                          
En telecomunicaciones, se conoce como banda ancha a la red (de cualquier tipo) que tiene una elevada capacidad para transportar información que incide en la velocidad de transmisión de ésta.1 Así entonces, es la transmisión de datos simétricos por la cual se envían simultáneamente varias piezas de información, con el objeto de incrementar la velocidad de transmisión efectiva. En ingeniería de redes este término se utiliza también para los métodos en donde dos o más señales comparten un medio de transmisión. Así se utilizan dos o más canales de datos simultáneos en una única conexión, lo que se denomina multiplexación (véase sección más abajo).

Algunas de las variantes de los servicios de Fiber To The Home son de banda ancha. Los routers que operan con velocidades mayores a 100 Mbit/s también son banda ancha, pues obtienen velocidades de transmisión simétricas.

El concepto de banda ancha ha evolucionado con los años. La velocidad que proporcionaba RDSI con 128 Kb/s dio paso al SDSL con una velocidad de 256 Kb/s. Posteriormente han surgido versiones más modernas y desarrolladas de este último, llegando a alcanzar desde la velocidad de 512 Kb/s hasta los 150 Mb/s simétricos en la actualidad.


http://upcommons.upc.edu/handle/10803/7045

4.1. Ethical Hacking

Las computadoras alrededor del mundo están siendo víctimas sistemáticamente de ataques de hackers (piratas informáticos), capaces de comprometer un sistema, robar todo lo valioso y borrar completamente la información en pocos minutos. Por esta razón resulta de vital importancia conocer si los sistemas informáticos y redes están protegidos de todo tipo de intrusos.

Precisamente el objetivo fundamental de Ethical Hacking, es, brindar ayuda a las organizaciones para que tomen todas las medidas preventivas en contra de agresiones maliciosas, valiéndose para ello de los test de intrusión, que evalúan la seguridad técnica de los sistemas de información, redes de computadoras, aplicaciones web, servidores, etc. El servicio consiste en la simulación de ataques hostiles controlados y la realización de actividades propias de delincuentes informáticos, esta filosofía resulta de la practica probada: "Para atrapar a un ladrón debes pensar como un ladrón".

A continuación se describen en detalle los diferentes enfoques a los que se orientan los tests de intrusión que aplican las empresas dedicadas a brindar servicios de ethical hacking, sus fases y las principales metodologías en las que se apoyan los especialistas para realizar dichas operacion.

 "Para atrapar a un intruso, primero debes pensar como intruso" 

Para garantizar la seguridad informática se requiere de un conjunto de sistemas, métodos y herramientas destinados a proteger la información, es aquí donde entran los servicios del Ethical Hacking , la cual es una disciplina de la seguridad informática que hecha mano de una gran variedad de métodos para realizar sus pruebas, estos métodos incluyen tácticas de ingeniería social, uso de herramientas de hacking , uso de Metasploits que explotan vulnerabilidades conocidas, en fin son válidas todas las tácticas que conlleven a vulnerar la seguridad y entrar a las áreas críticas de las organizaciones.

¿Quiénes son los Ethical Hackers? 

Los hackers éticos también conocidos como Pen-Tester, como su nombre lo dice, realizan "Pruebas de Penetración". Un hacker ético es un experto en computadoras y redes de datos, su función es atacar los sistemas de seguridad en nombre de sus dueños, con la intención de buscar y encontrar vulnerabilidades que un hacker malicioso podría explotar. Para probar los sistemas de seguridad, los Ethical Hackers (hackers éticos) utilizan los mismos métodos que sus homólogos, pero se limitan únicamente a reportarlos en lugar de sacar ventaja de ellos. El Ethical Hacking también es conocido como penetration testing (pruebas de penetración) o i ntrusión testing (pruebas de intrusión). Los individuos que realizan estas actividades a veces son denominados "hackers de sombrero blanco", este término proviene de las antiguas películas del Oeste, en donde el "bueno" siempre llevaba un sombrero blanco y el "malo" un sombrero negro. 

http://mundocontact.com/que-es-un-etical-hacker/

4 Tópicos de seguridad

             

La seguridad informática, no sólo en México sino a nivel mundial, es uno de los
temas que mayor auge comienza a tener en la actualidad, visto ya sea desde las
necesidades de promoverla así como de implementarla.

Lo anterior atiende a centrar esta disertación en una premisa importante: la
seguridad informática no implica en forma única y específica a Internet, la
seguridad informática se refiere a todo lo que hace referencia a la preservación,
respeto y buen manejo de la información. Para ello, es de vital importancia aclarar
que el valor protegido, tanto tangible como intangible, será siempre la información.
Sin embargo, el tema de preservar, respetar y manipular en la forma más correcta
a la información, al día de hoy no es un tema fácil de entender, dado que se tiene
pensado en el mayor de los casos, que la seguridad informática es un tema que
sólo debe aplicarse a casos específicos y no a un “todo” empresarial, Vg:

a. la importancia de proteger los archivos electrónicos de un alto ejecutivo en una
empresa vs. la falta de importancia de proteger los archivos electrónicos de la
persona encargada de llevar el registro de entrada y salida del personal.

b. la constante actualización de programas antivirus en las computadoras
personales de los altos ejecutivos en una empresa vs. la ausencia de un
programa antivirus en las computadoras personales de las secretarias de
dichos ejecutivos. 

http://seguridadinformaticasmr.wikispaces.com/TEMA+1-+SEGURIDAD+IFORM%C3%81TICA

3.6.1 Ciber crimen, recuperar información, análisis forenses, metodología, situación legal. Ejemplo de aplicaciones, herramientas, aspectos legales en computación forense, atención de incidentes de seguridad, estandares internacionales, evidencia digital.

Seguramente todos de manera directa o indirecta nos hemos visto expuestos a ser víctimas de fraude, extorsión y espionaje informático. Este delito, mejor conocido como cibercrimen, no sólo pretende conseguir un beneficio principalmente económico, sino que también abarca el dominio de Internet como ataques con fines políticos, programas informáticos maliciosos, etc.

Dentro del fraude profesional generado en la web, considerado por muchos un crimen organizado, existen infinidad de términos, sin embargo, aquí mencionamos los más comunes:

Ciberocupación: es el hecho de reservar un dominio en Internet, sobre todo un nombre que se asocia con la marca de una empresa, y luego tratar de sacar provecho de la venta o concesión de licencias de este nombre.
Acoso cibernético: es el acto de amenazar y acosar a alguien a través de múltiples mensajes de correo electrónico. Sobre todo con la intención de invadir de temor al destinatario o a un familiar del destinatario, bien sea a través de un acto ilegal o una lesión.
Ciberrobo: es la acción de utilizar un servicio informático en línea, para robar la propiedad de otro o para interferir con la otra persona en el uso y disfrute de una propiedad.
La interceptación de correo electrónico: es el acto de leer y almacenar e-mails, sin el permiso del destinatario.
Fraude por Internet: es cualquier tipo de uso fraudulento de una computadora y el Internet, incluyendo el uso de las salas de chat, correo electrónico, foros, grupos de discusión y sitios web, para llevar a cabo transacciones fraudulentas, transmitir los beneficios del fraude a las instituciones financieras, o para robar, destruir o inutilizar los datos informáticos esenciales para el funcionamiento de un negocio (por ejemplo, a través de la proliferación de un virus).
Fraude por telemercadeo: es un término que se refiere a privar a las víctimas de una forma deshonesta de sus bienes o dinero, e inclusive falsear los valores de estos bienes o servicios.


file:///C:/Users/Angel%20Walle/Downloads/13_sain.pdf

3.6 Informática forense

                             

La informática forense está adquiriendo una gran importancia dentro del área de la información electrónica, esto debido al aumento del valor de la información y/o al uso que se le da a ésta, al desarrollo de nuevos espacios donde es usada, y al extenso uso de computadores por parte de las compañías de negocios tradicionales. Es por esto que cuando se realiza un crimen, muchas veces la información queda almacenada en forma digital. Sin embargo, existe un gran problema, debido a que los computadores guardan la información de información forma tal que no puede ser recolectada o usada como prueba utilizando medios comunes, se deben utilizar mecanismos diferentes a los tradicionales.

Es de aquí que surge el estudio de la computación forense como una ciencia relativamente nueva. Resaltando su carácter científico, tiene sus fundamentos en las leyes de la física, de la electricidad y el magnetismo. Es gracias a fenómenos electromagnéticos que la información se puede almacenar, leer e incluso recuperar cuando se creía eliminada. La informática forense, aplicando procedimientos estrictos y rigurosos puede ayudar a resolver grandes crímenes apoyándose en el método científico, aplicado a la recolección, análisis y validación de todo tipo de pruebas digitales. 

Según el FBI, la informática (o computación) forense es la ciencia de adquirir, preservar, obtener y presentar datos que han sido procesados electrónicamente y guardados en un medio computacional [ReEx00]. La informática forense hace entonces su aparición como una disciplina auxiliar de la justicia moderna, para enfrentar los desafíos y técnicas de los intrusos informáticos, así como garante de la verdad alrededor de la evidencia digital que se pudiese aportar en un proce[Acis06]. Desde 1984, el Laboratorio del FBI y otras agencias que persiguen el cumplimiento de la ley empezaron a desarrollar programas para examinar evidencia computacional. 

Computación forense (computer forensics) que entendemos por disciplina de las ciencias forenses, que considerando las tareas propias asociadas con la evidencia, procura descubrir e interpretar la información en los medios informáticos para establecer los hechos y formular las hipótesis relacionadas con el caso; o como la disciplina científica y especializada que entendiendo los elementos propios de las tecnologías de los equipos de computación ofrece un análisis de la información residente en dichos equipos. 

http://es.wikipedia.org/wiki/C%C3%B3mputo_forense

3.5.1 Plataforma informática, aplicaciones base de la ataques informáticos, falla en la seguridad de aplicaciones, configuración de cookies , aplicación de seguros.

                             

Un ataque informático es un método por el cual un individuo, mediante un sistema informático, intenta tomar el control, desestabilizar o dañar otro sistema informático (ordenador, red privada, etcétera).

A lo largo del tiempo, el avance de los medios tecnológicos y de comunicación ha provocado el surgimiento de nuevos vectores de ataques y de nuevas modalidades delictivas que han transformado a Internet y las tecnologías informáticas en aspectos sumamente hostiles para cualquier tipo de organización, y persona, que tenga equipos conectados a la World Wide Web. A diferencia de lo que sucedía años atrás, donde personas con amplias habilidades en el campo informático disfrutaban investigando estos aspectos con el ánimo de incorporar mayor conocimiento; en la actualidad se ha desvirtuado completamente dando origen a nuevos personajes que utilizan los medios informáticos y el conocimiento sobre su funcionamiento como herramientas para delinquir y obtener algún beneficio económico.

 Cada día se descubren nuevos puntos débiles y, por lo general, son pocos los responsables de IT que comprenden en su justa medida la importancia que tiene la seguridad y cómo pueden abordar el grave problema que existe detrás de vulnerabilidades que permiten a un atacante, violar la seguridad de un entorno y cometer delitos en función de los datos robados. 

lquier magnitud y rubro, los sistemas de información, el dinero y delincuentes informáticos; se torna realmente necesario y fundamental idear estrategias de seguridad que permitan establecer barreras defensivas orientadas a mitigar efectivamente ataques tanto externos como internos. Pero para lograr mitigar de manera eficaz el impacto provocado por los ataques informáticos, es de capital importancia conocer de qué manera atacan y cuáles son los puntos débiles de un sistema comúnmente explotados en los que se deben enfocar los esfuerzos de seguridad tendientes a la prevención de los mismos.  

http://www.jefatura.gob.ar/archivos/servicios_al_ciudadano/Ataques-y-amenazas-US-cert-gov-tips.pdf

3.5 Seguridad en aplicaciones

Un efecto secundario del crecimiento exponencial que ha tenido el Internet es la privacidad de información tanto personal como profesional. En Internet encontramos funcionando a tiendas en línea, negocios que mueven grandes cantidades de dinero, redes de los servicios que habilitan el comercio a nivel internacional así como sitios de redes sociales que contienen información muy delicada de la vida privada de sus miembros.

Mientras más se conecta el mundo, la necesidad de seguridad en los procedimientos usados para compartir la información se vuelve más importante. Desde muchos puntos de vista, podemos creer sin dudar que el punto más crítico de la seguridad del Internet, lo tienen las piezas que intervienen de forma directa con las masas de usuarios, los servidores web.

Respecto a los servidores web, es común escuchar sobre fallas en los sistemas de protección de los servidores más frecuentemente utilizados (Apache, IIS, etc.), o en los lenguajes de programación en los que son escritas las aplicaciones que son ejecutadas por estos servidores. Pero es un hecho, que la mayoría de los problemas detectados en servicios web no son provocados por fallas intrínsecas de ninguna de estas partes, ya que una gran cantidad de los problemas se generan por malos usos por parte de los programadores.

Ahora que sabemos que la mayoría de los problemas de seguridad en los sitios web se encuentran a nivel aplicación y que son el resultado de escritura defectuosa de código, debemos entender que programar aplicaciones web seguras no es una tarea fácil, ya que requiere por parte del programador, no únicamente mostrar atención en cumplir con el objetivo funcional básico de la aplicación, sino una concepción general de los riesgos que puede correr la información contenida, solicitada y recibida por el sistema. En la actualidad, aunque existen muchas publicaciones que permiten formar un criterio sobre el tema, no existen acuerdos básicos sobre lo que se debe o no se debe hacer, y lo que en algunas publicaciones se recomienda, en otras es atacado. Sin embargo, en lo sustancial sí existen algunas recomendaciones que son generales y serán las que describamos en este artículo.

Hablaremos de los problemas esenciales de seguridad que solemos encontrar en las aplicaciones PHP, además, daremos consejos para evitar cometer los mismos errores, si bien, la mayoría de los problemas (sino es que todos) revisados serán para código PHP, los mismos consejos suelen aplicar para otros lenguajes de tecnologías similares que por lo mismo enfrentan problemas parecidos y cuya solución es la misma, sólo con las variantes propias del lenguaje.

https://www.fing.edu.uy/cpap/cursos/seguridad-en-aplicaciones

3.4.1 Ataques contra las redes TCP/IP. Mecanismo de prevención, protección, administración de servicio, seguridad pasiva y activa. Configuración de servicios.

                

La implementación de seguridad en cómputo no sólo requiere recursos tecnológicos, se deben considerar procesos de entrenamiento y recursos humanos especializados, esta meta es difícil de alcanzar debido a los constantes cambios. Con el paso de los años se han desarrollado nuevos ataques cada vez más sofisticados para explotar vulnerabilidades tanto en el diseño de las redes TCP/IP, en la configuración, operación de los equipos y sistemas que conforman las redes conectadas a internet. Estos nuevos métodos de ataque se han automatizado, por lo que en muchos casos sólo se necesita un conocimiento técnico muy básico para realizarlos. Cualquier usuario con una conexión a internet tiene acceso hoy en día a numerosas aplicaciones para realizar estos ataques y las instrucciones necesarias para ejecutarlos.

Es importante tener en cuenta que para implementar un esquema de seguridad antes se debe contar con una administración bien definida, el siguiente paso de la administración es la planeación de un esquema de seguridad el cual es determinado con base en un análisis del sistema actual, los recursos económicos, las necesidades de la organización y la aprobación de la gerencia. Realizando un análisis de riesgos posterior contemplando la arquitectura de la red, políticas de seguridad actuales, mecanismos de detección de intrusos, robos, desastres naturales, concientización de usuarios, seguridad interna, confidencialidad, seguridad en redes inalámbricas y mantenimiento principalmente, dentro de este punto se debe contemplar tanto la seguridad física como la lógica para asegurar la red y cada host, generando lo que actualmente se conoce como seguridad convergente.

http://es.wikipedia.org/wiki/Modelo_TCP/IP

sequence=6

3.4 Seguridad operativa

                                             
La Seguridad Operativa, entendida como el conjunto de procedimientos destinados a minimizar los riesgos a los que están expuestos los trabajadores a través de la capacitación y la utilización de barreras, es parte estratégica del sistema integral de gestión en los establecimientos de salud, por su impacto en el costo laboral y por su incidencia en la gestión de la calidad institucional.

Asimismo, en el marco voluntario la Seguridad Operativa es un requerimiento de la competencia técnica y forma parte del proceso de acreditación de los establecimientos que desean cumplir con normas de alto nivel de calidad a nivel nacional e internacional.
Las empresas de diag- nóstico y tratamiento nucleadas en CA.DI.ME constituyen un área de gran riesgo laboral debido a la presencia simultánea de numerosas acciones potencialmente riesgosas (riesgos biológicos, químicos y físicos).

El conocimiento de estos riesgos y la manera de prevenirlos mediante la concientización y capacitación constituyen los pilares fundamentales de la Seguridad Operativa. Por este motivo desde la Cámara consideramos que esta problemática no se resuelve solo mediante el conocimiento del riesgo, sino que además se deben garantizar la condición segura mediante la utilización de barreras apropiadas y una actitud segura a través de una adecuada información y educación tendiente a provocar cambios de conducta de los recursos humanos, adoptando “precauciones universales”.

Aún en estas circunstancias, si el accidente ocurre, deberá estar normatizada la conducta a seguir frente al mismo, hecho que se define como postexposición.
La posibilidad de ofrecer alternativas preventivas y/o de tratamiento y la capacitación del personal de la salud, se constituyen en la base fundamental de los nuevos modelos de la Seguridad Laboral.

De acuerdo con datos suministrados por el área de estadísticas de la Superintendencia de Riesgos del Trabajo, durante el año 2003 en el sector servicios de salud se registró un promedio mensual de 183 personas con siniestros por fallas en la seguridad operativa en la empresa, de las cuales 159 son por heridas cortopunzantes, 17 por quemaduras, 5 por intoxicaciones y 2 por electricidad/ radiaciones.

En este marco, la Cámara de Instituciones de Diagnóstico Médico y la Universidad Tecnológica Nacional, unieron recursos en una estrategia común; dar respuesta a la necesidad de incorporar conocimientos de interés para la gestión de empresas en el sector salud, mediante cursos por e-learning a través de un campus virtual. Este nuevo ámbito de educación es un aula virtual con diseño didáctico que dispone de todas las avanzadas herramientas que se exigen en esta modalidad de enseñanza. Con un mínimo equipamiento, estas tecnologías permiten el aprendizaje continuo sin límites de tiempo ni distancias, con la plena participación y compromiso del alumno.

http://www.buenastareas.com/ensayos/Objetivo-De-La-Seguridad-Informatica/5123977.html

3.3 Autentificación

                             

La autenticación es el acto o proceso para el establecimiento o confirmación de algo (o alguien) como real. La autenticación de un objeto puede significar (pensar) la confirmación de su procedencia, mientras que la autenticación de una persona a menudo consiste en verificar su identidad. Todo ello en función de uno o varios factores.

Autenticación, autentificación (no recomendado) o mejor dicho acreditación, en términos de seguridad de redes dedatos, se puede considerar uno de los tres pasos fundamentales (AAA). Cada uno de ellos es, de forma ordenada:

1. Autenticación. En la seguridad de ordenador, la autenticación es el proceso de intento de verificar la identidad digital del remitente de una comunicación como una petición para conectarse. El remitente siendo autenticado puede ser una persona que usa un ordenador, un ordenador por sí mismo o un programa del ordenador. En un web de confianza, "autenticación" es un modo de asegurar que los usuarios son quien ellos dicen que ellos son - que el usuario que intenta realizar funciones en un sistema es de hecho el usuario que tiene la autorización para hacer así.
2. Autorización. Proceso por el cual la red de datos autoriza al usuario identificado a acceder a determinados recursos de la misma.
3. Auditoría. Mediante la cual la red o sistemas asociados registran todos y cada uno de los accesos a los recursos que realiza el usuario autorizados o no.

El problema de la autorización a menudo, es idéntico a la de autenticación; muchos protocolos de seguridad extensamente adoptados estándar, regulaciones obligatorias, y hasta estatutos están basados en esta asunción. Sin embargo, el uso más exacto describe la autenticación como el proceso de verificar la identidad de una persona, mientras la autorización es el proceso de verificación que una persona conocida tiene la autoridad para realizar una cierta operación. La autenticación, por lo tanto, debe preceder la autorización. Para distinguir la autenticación de la autorización de término estrechamente relacionada, existen unas notaciones de taquigrafía que son: A1 para la autenticación y A2 para la autorización que de vez en cuando son usadas,también existen los términos AuthN y AuthZ que son usados en algunas comunidades.

https://sbmsaiumu.files.wordpress.com/2014/12/problematica_autentificacion_celulas-1912141.pdf
http://httpd.apache.org/docs/2.0/es/howto/auth.html

3.2.1 Presentación formal y estructurada de problemas, algoritmos, estándares y protocolos criptográficos, uso de aplicación, entornos reales.

                 

En computación y criptografía un algoritmo criptográfico es un algoritmo que modifica los datos de un documento con el objetivo de alcanzar algunas características de seguridad como autenticación, integridad y confidencialidad.

        Es corriente la creencia de que la documentación almacenada en forma digital es más fácil de adulterar que su equivalente impresa en papel. Si bien es cierto que la tecnología brinda las facilidades para modificar de manera indiscriminada la información almacenada digitalmente, el uso de las herramientas adecuadas pueden hacer del medio digital un sistema mucho más seguro que el papel. Algunos ejemplos son la criptografía de clave pública, los sistemas de firma digital, etc.Sin embargo es necesario ser muy cuidadoso al elegir las herramientas a integrar en cada desarrollo. El solo hecho de incluir criptografía no soluciona todos los problemas de seguridad. 


        Los protocolos introducidos en este trabajo están orientados a determinar si la información ingresada al sistema antes de que se produzca una determinada intrusión, ha sido adulterada. Es decir, dado un sistema que incorpora registros en forma periódica a su base de datos, y una persona que adquiere acceso en un instante determinado, un ente auditor puede determinar si los datos ingresados al sistema antes de que se produzca el acceso en cuestión han sido modificados. Los protocolos no garantizan lo que ocurra con la información en forma posterior al acceso, ya que el intruso cuenta con herramientas para modificar todas las entradas y salidas del sistema a partir de ese momento.

        La seguridad de estos protocolos esta basada en el hecho de que el estado del sistema en el instante en que se da de alta un registro no puede ser reproducido en base a estados posteriores. La complejidad de un ataque a este sistema depende directamente de la complejidad de los algoritmos utilizados. Una implementación de PEO utilizando MD5, considerando que la mejor manera de atacarlo es por fuerza bruta, implicaría la prueba de 2128 posibles estados, impensable con la tecnología informática usada actualmente. 

http://cryptull.webs.ull.es/English/Protocols.pdf

3.2 Criptografía

                                   

La criptografía es la técnica que protege documentos y datos. Funciona a través de la utilización de cifras o códigos para escribir algo secreto en documentos y datos confidenciales que circulan en redes locales o en internet. Su utilización es tan antigua como la escritura. Los romanos usaban códigos para ocultar sus proyectos de guerra de aquellos que no debían conocerlos, con el fin de que sólo las personas que conocían el significado de estos códigos descifren el mensaje oculto.  

A partir de la evolución de las computadoras, la criptografía fue ampliamente divulgada, empleada y modificada, y se constituyó luego con algoritmos matemáticos. Además de mantener la seguridad del usuario, la criptografía preserva la integridad de la web, la autenticación del usuario así como también la del remitente, el destinatario y de la actualidad del mensaje o del acceso.

Para ello los criptógrafos investigan, desarrollan y aprovechan técnicas matemáticas que les sirven como herramientas para conseguir sus objetivos. Los grandes avances que se han producido en el mundo de la criptografía, han sido posibles gracias a los grandes avances que se han producido en el campo de la matemática y la informática.

Las llaves pueden ser: 

Simétricas:
 Es la utilización de determinados algoritmos para descifrar y encriptar (ocultar) documentos. Son grupos de algoritmos distintos que se relacionan unos con otros para mantener la conexión confidencial de la información. 


Asimétrica:
 Es una fórmula matemática que utiliza dos llaves, una pública y la otra privada. La llave pública es aquella a la que cualquier persona puede tener acceso, mientras que la llave privada es aquella que sólo la persona que la recibe es capaz de descifrar.

http://es.wikipedia.org/wiki/Criptograf%C3%ADa

3.1 Protección física de la infraestructura de TIC

                           


1. Fortalecer firewalls:

Los firewalls son tan buenos como las reglas que le han sido configuradas. Independientemente del tamaño de la red, los firewalls acumulan una lista cada vez mayor de reglas y objetos redundantes, además de reglas en conflicto y algunas no utilizadas, las cuales pueden causar caos en la administración de la herramienta. Durante la temporada de compras en línea, los firewalls se vuelven altamente vulnerables. La recomendación es verificar que reglas del firewall estén actualizadas, tanto al estar expuesto desde el exterior o interior.

2. Instalar actualizaciones:

Las organizaciones son los principales objetivos de las infestaciones, cuando asumen que la versión más reciente de la aplicación es a prueba de seguridad, por lo que no cuentan con las últimas actualizaciones o no se toman en cuenta todas las aplicaciones instaladas por los usuarios finales. Es posible reducir la explotación por malware manteniendo los parches de seguridad actualizados, sobre todo cuando los empleados son susceptibles a caer en estafas hábilmente disfrazadas.

3. Monitorear el tráfico interno: 

Identificar sitios donde los usuarios persiguen ofertas para realizar compras al monitorear continuamente la actividad de la estación de trabajo y el comportamiento. Con un servidor proxy, las empresas pueden bloquear algunos sitios, por ejemplo "no compras", a través de la detección de los usuarios que están tratando de eludir las políticas de la organización. Si está permitido, dar seguimiento. Si no está permitido, asegurarse de que está bloqueado.

4. Controlar el ancho de banda: 

Con un aumento de pico y una concentración de usuarios que utilizan Internet para buscar ofertas en línea, es probable que se afecte el ancho de banda de red. Por otro lado, no perder de vista a los atacantes que pueden afectar mientras se está enfocado en mantener la red funcionando. Controlar el ancho de banda y el tráfico, así como tomar las medidas adecuadas sobre los usuarios que abusan de los privilegios.



Este trabajo presenta un modelo para facilitar la obtención de un adecuado nivel de control de riesgos en Tecnologías de Información y Comunicación (TIC), que permita entre otros evitar y/o disminuir las fallas en los sistemas, redes, Internet y todo el patrimonio informático (hardware, software y datos) de ataques o desastres, antes que éstos ocurran. Se muestra la importancia y urgencia de este tema hoy en día, se presentan las normas, estándares y leyes más relevantes relacionadas con el tema, y se discuten brevemente los diversos aspectos involucrados en la formulación del modelo. El modelo propuesto se fundamenta en los lineamientos entregados por las normas y estándares internacionales del área, lo cual permite él entregue las bases para que cualquier tipo de organización pueda realizar un uso seguro de sus TIC.  

ISO 17.799 Es un estándar para la administración de la seguridad de la información, e implica la implementación de toda una estructura documental que debe contar con un fuerte apoyo de la alta dirección de cualquier organización. Este estándar fue publicado por la International Organization for Standardization (ISO) en diciembre de 2000 con el objeto de desarrollar un marco de seguridad sobre el cual trabajen las organizaciones. Esta norma internacional ofrece recomendaciones para realizar la gestión de la seguridad de la información dirigidas a los responsables de iniciar, implantar o mantener la seguridad de una organización.  

http://misystem.pbworks.com/w/file/fetch/52320230/Infraestructura

3. Soluciones de Seguridad

      

Las soluciones de seguridad perimetral protegen la red y los recursos de la organización contra amenazas, ataques y degradaciones de servicio. El portfolio de IREO incluye las soluciones más avanzadas del mercado para proteger la red contra ataques persistentes, ataques dirigidos, exploits sofisticados, ataques DDoS, ataques de día cero y otras amenazas que las soluciones tradicionales no son capaces de detectar.

UTM, cortafuegos y sistemas VPN:

Las soluciones UTM combinan firewall, antivirus, antispam, sistema de prevención de intrusos, control de navegación web, control del uso de mensajería instantánea, VPN, gestión de múltiples conexiones Internet y otras funciones importantes, todo ello en un "appliance" fácil de administrar y a un precio competitivo.

Los ataques dirigidos y amenazas persistentes representan la preocupación de seguridad más urgente para muchas empresas, ya son los métodos más utilizados para el espionaje industrial y robo de información a nivel internacional. Los sistemas de seguridad tradicionales basadas en firmas (firewalls, IPS, antimalware, etc.) no son capaces de ofrecer protección. IREO propone una serie de soluciones con tecnología de última generación, que ayuda a proteger su red de este tipo de ataques.

Protección contra ataques DDoS y tráfico no deseado:

El tráfico no deseado, y en especial los ataques DDoS, supone una carga importante para sus sistemas de seguridad perimetral y su infraestructura web. IREO propone soluciones que actúan como primer filtro, detectando y eliminando el tráfico no deseado. Estas soluciones mejoran la experiencia de los usuarios legítimos, evitan caídas y reducen los costes asociados con su infraestructura web y seguridad perimetral.

http://www.csirtcv.gva.es/sites/all/files/downloads/12%20medidas%20b%C3%A1sicas%20para%20la%20seguridad%20Inform%C3%A1tica.pdf

2.12.1 Buenas practicas, metodología y herramientas de soporte

                          

Por mejores prácticas se entiende un conjunto coherente de acciones que han rendido buen o incluso excelente servicio en un determinado contexto y que se espera que, en contextos similares, rindan similares resultados. Éstas dependen de las épocas, de las modas y hasta de la empresa consultora o del autor que las preconiza. No es de extrañar que algunas sean incluso contradictorias entre ellas.

De forma muy generalizada se suele definir “buena práctica” como una actuación o experiencia que persiguiendo unos objetivos determinados ha dado con una metodología o procedimientos que resultan apropiados o aconsejables para conseguir unos resultados positivos, demostrando su eficacia y utilidad en un contexto concreto. Una buena práctica se refiere siempre a hechos, no a intenciones y se relaciona de manera muy directa con conceptos del tipo “digna de ser imitada”, “mejores prácticas” o simplemente con “aquello que funciona para conseguir un fin.” De acuerdo con la comunidad internacional, la UNESCO, en el marco de su programa MOST(Management of Social Tranformations), ha especificado cuáles son los atributos de una buena práctica educativa y los rasgos que lo caracterizan.

En términos generales, las buenas prácticas han de ser: 

•Innovadoras, desarrollan soluciones nuevas o creativas.
•Efectivas, demuestran un impacto positivo y tangible sobre la mejora.
•Sostenibles, por sus exigencias sociales, económicas y medioambientales pueden
mantenerse en el tiempo y producir efectos duraderos.
•Replicables, sirven como modelo para desarrollar políticas, iniciativas y actuaciones en otros lugares. 

Es importante definir qué entendemos por trabajo colaborativo, ya que es uno de los hilos conductores que hemos seguido para definir las diferentes experiencias. A lo largo de este trabajo, incluimos términos como cooperación, colaboración y trabajo en equipo y lo hacemos como conceptos complementarios nunca como sinónimos, pues desde nuestra perspectiva entendemos que no lo son.

http://buenaspracticasaps.cl/que-es-una-buena-practica/

2.12 Frameword – marco de referencia.

          

Los frameworks no necesariamente están ligados a un lenguaje concreto, aunque sea así en muchas ocasiones. En el cada vez más popular Ruby on Rails, ‘Ruby’ es el lenguaje de programación y ‘Rails’ el framework; por otro lado, JavaServer Faces está orientado a desarrollos en Java. Sin embargo, nada impide definir el mismo framework para lenguajes diferentes: por ejemplo, existe un framework llamado Biscuit cuyo objetivo es prácticamente convertirse en un “PHP on Rails”. Eso sí, cuanto más detallado es el framework, más necesidad tendrá de ceñirse a un lenguaje concreto.

También es posible que el framework defina una estructura para una aplicación completa, o bien sólo se centre en un aspecto de ella. Siguiendo con los ejemplos, Ruby on Rails ofrece un marco para el desarrollo completo de una aplicación web, mientras que JavaServer Faces está más orientado a la interfaz de usuario.

Sin embargo, a medida que la aplicación crece, un programador competente procurará seguir unas determinadas pautas que le faciliten su trabajo de desarrollo y mantenimiento: separación de presentación y lógica, una sintaxis coherente, etc. La evolución natural sera hacia que, de algún modo, se construirá su propio framework.


Y en vez de definir un estándar, ¿por qué no utilizar uno ya definido, y aprovechar el trabajo de otros muchos desarrolladores? Hacer un desarrollo críptico y difícil de interpretar puede ser útil en un concurso de código ofuscado o para presumir de “gurú”, pero es muy poco útil para desarrollar y mantener una aplicación. El coste inicial (la curva de aprendizaje) de utilizar un framework se compense probablemente en cuanto el trabajo de desarrollo crezca mínimamente.

• Lainversión de control: En un frame, a diferencia de las bibliotecas, el flujo de control no es dictado por el programa que llama, sino por el mismo.¹
• La funcionalidad o comportamiento predeterminado: Un marco tiene un comportamiento predeterminado. Este comportamiento por defecto debe ser un comportamiento útil, definido e identificable.
• Su extensibilidad : Un marco puede ser ampliado para proporcionar una funcionalidad específica. El frame, en general, no se supone que deba ser modificado, excepto en cuanto a extensibilidad. Los usuarios pueden ampliar sus características, pero no deben ni necesitan modificar su código.

http://www.lsi.us.es/~javierj/investigacion_ficheros/Framework.pdf

2.11 Evaluación y mantenimiento

La mayoría de los programadores e ingenieros de sistemas son reacios a plasmar su trabajo en papel, no sólo porque resulta una tarea ardua y poco creativa, sino porque, al no hacerlo, aumentan la dependencia de las empresas de sus servicios, lo que supone un modo de asegurar sus empleos.

Por lo tanto, insista en que le proporcionen una documentación adecuada e inclúyalo de forma expresa en cualquier contrato que firme con ellos. Dicha documentación debe incluir: información sobre los procesos de diseño internos del sistema, estructuras y relaciones de tablas de datos, código fuente y requisitos de instalación.

El mantenimiento de un sistema que cuente con una documentación completa es más sencillo; además, la documentación facilita la resolución de problemas y, lo más importante, le da libertad para recurrir posteriormente a otros contratistas si el programador no satisface sus necesidades. Asimismo, es fundamental disponer de la documentación si pretende compartir su software o venderlo a otras organizaciones. También es aconsejable incluir la elaboración de manuales para los administradores y los usuarios como parte del paquete de documentación.

Cuestiones contractuales: si decide contratar a programadores informáticos, se recomienda encarecidamente que elabore un contrato de servicios detallado que defina, entre otros, los siguientes aspectos:

• Ámbito de aplicación y limitaciones: asegúrese de incluir el ámbito de aplicación y las limitaciones de los servicios contratados, en particular en lo que se refiere a la asistencia al usuario, la documentación, la corrección de errores y las actualizaciones en el tiempo.
• Código fuente: como se ha menciona do con anterioridad, los archivos del código fuente son necesarios para realizar modificaciones futuras en el sistema. Si paga por la programación del código fuente, debe insistir en obtener copias de dichos archivos. Ello le otorga el derecho exclusivo a modificarlos y venderlos si lo desea.

http://revista.iutet.edu.ve/V12_24_5.pdf

2.10 Gestión financiera de las TICS.

                               

Las Tecnologías de la Información y la Comunicación han transformado nuestra manera de trabajar y gestionar recursos. Las TIC son un elemento clave para hacer que nuestro trabajo sea más productivo: agilizando las comunicaciones, sustentando el trabajo en equipo, gestionando las existencias, realizando análisis financieros, y promocionando nuestros productos en el mercado.

Bien utilizadas, las TIC permiten a las empresas producir más cantidad, más rápido, de mejor calidad, y en menos tiempo. Nos permiten ser competitivos en el mercado, y disponer de tiempo libre para nuestra familia.

Tomemos como ejemplo el área de Marketing y Comunicación.

Las empresas tienen como objetivo principal vender sus productos en el mercado. Y para conseguirlo necesitan primero presentar el producto a sus clientes para que lo conozcan. Esa es una función del marketing.

Las TIC facilitan el trabajo de presentar el producto a los clientes y conseguir ventas de muchas maneras distintas. Por ejemplo:

El correo electrónico nos permite enviar todo tipo de información y comunicados a nuestros clientes. Podemos enviarles un catálogo de productos, una felicitación de navidad o un boletín de noticias, sin prácticamente ningún coste. Las TIC lo hacen posible.

Una página web donde exponer nuestros productos permite que los clientes interesados encuentren nuestros productos fácilmente en Internet y contacten con nosotros. También permite transmitir al mundo nuestra filosofía de empresa.


Un sistema de gestión de clientes informatizado (también conocido por sus siglas en inglés como CRM) nos permite conocer mejor a nuestros clientes, analizando sus hábitos y su historial de compras. Así podemos planificar mejor  nuestras acciones de venta y también gestionar de forma eficaz de las diferentes áreas de negocio de la empresa.

• 
  

http://www.gedos.es/2009/03/la_gestin_financiera_de_los_servicios_tic/