Seguridad informática para empresas y particulares

442 Pages·2004·13.323 MB·Spanish

by  Gonzalo Alvarez Marañón, Pedro Pablo Pérez Garía, Pedro Bustamante

SEGURIDAD INFORMÁTICA
PARA EMPRESAS
Y PARTICULARES

SEGURIDAD
Microsoft Excel 2002
®
INFORMÁTICA
sin problemas
PARA EMPRESAS
Y PARTICULARES
Gonzalo Álvarez Marañón
Pedro Pablo Pérez García
Revisión técnica
Pedro Bustamante
Chief Marketing Officer
Panda Software
MADRID(cid:127) BUENOS AIRES (cid:127) CARACAS(cid:127) GUATEMALA(cid:127) LISBOA(cid:127) MÉXICO
NUEVA YORK (cid:127) PANAMÁ(cid:127) SAN JUAN (cid:127) SANTAFÉ DE BOGOTÁ (cid:127) SANTIAGO(cid:127) SÃO PAULO
AUCKLAND (cid:127) HAMBURGO (cid:127) LONDRES (cid:127) MILÁN (cid:127) MONTREAL (cid:127) NUEVA DELHI
PARÍS (cid:127) SAN FRANCISCO (cid:127) SIDNEY (cid:127) SINGAPUR (cid:127) ST. LOUIS (cid:127) TOKIO (cid:127) TORONTO
La información contenida en este libro procede de una obra original entregada por los autores.
No obstante, McGraw-Hill no garantiza la exactitud o perfección de la información publicada.
Tampoco asume ningún tipo de garantía sobre los contenidos y las opiniones vertidas
en dichos textos.
Este trabajo se publica con el reconocimiento expreso de que se está proporcionando una información,
pero no tratando de prestar ningún tipo de servicio profesional o técnico. Los procedimientos y la
información que se presentan en este libro tienen sólo la intención de servir como guía general.
McGraw-Hill ha solicitado los permisos oportunos para la realización y el desarrollo de esta obra.
SEGURIDAD INFORMÁTICA PARA EMPRESAS Y PARTICULARES
No está permitida la reproducción total o parcial de este libro, ni su tratamiento informático, ni la
transmisión de ninguna forma o por cualquier medio, ya sea electrónico, mecánico, por fotocopia,
por registro u otros métodos, sin el permiso previo y por escrito de los titulares del Copyright.
McGraw-Hill / Interamericana
de España S. A. U.
DERECHOS RESERVADOS © 2004, respecto a la primera edición en español, por
McGRAW-HILL/INTERAMERICANA DE ESPAÑA, S. A. U.
Edificio Valrealty, 1ª planta
Basauri, 17
28023 Aravaca (Madrid)
http://www.mcgraw-hill.es
[email protected]
ISBN: 84-481-4008-7
ISBN (edición especial): 84-481-4297-7
Depósito legal:
Editor: Carmelo Sánchez González
Diseño de cubierta: Luis Sanz Cantero
Compuesto en: GAAP Editorial, S. L.
Impreso en:
IMPRESO EN ESPAÑA - PRINTED IN SPAIN
> Contenido
Acerca de los autores ............................................................................................ xix
Prólogo.................................................................................................................. xxi
Introducción........................................................................................................... xxiii
CAPÍTULO 1. Introducción a la seguridad de la información........... 1
Gestión de seguridad de la información.................................................................. 2
Expectativas y contextos de seguridad .................................................................. 3
Gestión del riesgo .................................................................................................. 4
Amenazas a la información................................................................................... 7
Gestión de la seguridad en el espacio.................................................................... 8
Gestión de la seguridad en el tiempo..................................................................... 11
Seguridad frente a Comodidad.............................................................................. 11
Planificación de la seguridad................................................................................. 12
Políticas de seguridad ............................................................................................ 14
Funciones y responsabilidades............................................................................... 17
Servicios de seguridad gestionados ....................................................................... 17
Historia de la seguridad informática....................................................................... 20
Comienzo de los ordenadores: años cincuenta...................................................... 22
Inicio de la seguridad informática: años setenta................................................... 22
Los años dorados y posterior persecución: años ochenta...................................... 22
La seguridad cobra fuerza...................................................................................... 23
El boom de la seguridad ........................................................................................ 24
Casos famosos........................................................................................................ 24
La seguridad en la empresa...................................................................................... 25
v
vi Contenido
Defensa en profundidad......................................................................................... 25
Análisis de riesgos................................................................................................. 29
Análisis de amenazas comunes ............................................................................. 32
Costes de los incidentes de seguridad para la empresa......................................... 34
Cumplimiento de leyes y estándares...................................................................... 36
Gestión de la Seguridad de la Información en España.................................... 37
Normas Internacionales ................................................................................... 37
Criterios de seguridad para la clasificación de seguridad de sistemas............ 38
La seguridad para el particular............................................................................... 38
La problemática de los hackers.............................................................................. 38
La problemática del malware................................................................................. 39
Otras problemáticas de seguridad.......................................................................... 40
Soluciones de seguridad para el particular............................................................ 41
Referencias y lecturas complementarias................................................................. 44
Bibliografía ............................................................................................................ 44
Internet................................................................................................................... 44
Gestión de seguridad de la información.......................................................... 44
Historia de la seguridad informática................................................................ 44
La seguridad en la empresa.............................................................................. 45
CAPÍTULO 2. Anonimato y privacidad................................................ 47
Navegación anónima.................................................................................................. 49
Proxies CGI o anonimizadores.............................................................................. 50
Proxies HTTP......................................................................................................... 50
Proxies SOCKS...................................................................................................... 54
Comparación de los diversos tipos de proxy......................................................... 56
Correo electrónico anónimo...................................................................................... 57
Servicios de correo Web......................................................................................... 57
Repetidores de correo anónimos............................................................................ 58
Protección frente al spyware y programas espía.................................................... 60
Origen del spyware ................................................................................................ 60
Web bugs................................................................................................................ 61
¿Tengo spyware en mi ordenador? ........................................................................ 63
Eliminación y prevención del spyware.................................................................. 64
Cookies........................................................................................................................ 64
Descripción de las cookies..................................................................................... 66
Riesgos de las cookies............................................................................................ 67
Amenazas de las cookies a la confidencialidad............................................... 67
Amenazas de las cookies al anonimato ........................................................... 67
Protección contra las cookies................................................................................. 68
Borrado de rastros en el ordenador......................................................................... 71
Eliminación de rastros de la navegación............................................................... 72
Eliminación de otros rastros de la actividad informática...................................... 74
Borrado seguro de datos......................................................................................... 74
Ley Orgánica de Protección de Datos de carácter personal (LOPD) .................. 76
Datos de carácter personal..................................................................................... 77
Tipos de ficheros.................................................................................................... 77
Sujetos a la Ley...................................................................................................... 78
Contenido vii
Obligaciones legales.............................................................................................. 78
Principio de calidad de datos........................................................................... 78
Deber de información....................................................................................... 79
Solicitud del consentimiento para tratamiento y cesión de datos.................... 80
Flujos de datos.................................................................................................. 80
Deber de guardar secreto.................................................................................. 81
Atención de los derechos de los ciudadanos.................................................... 81
Notificación de ficheros ................................................................................... 82
Adopción de medidas de seguridad necesarias................................................ 83
Medidas de seguridad ............................................................................................ 83
Medidas de seguridad de nivel básico.............................................................. 84
Documento de seguridad............................................................................ 84
Funciones y obligaciones del personal....................................................... 84
Registro de incidencias............................................................................... 84
Identificación y autenticación .................................................................... 85
Autorización ............................................................................................... 85
Gestión de soportes..................................................................................... 85
Copias de respaldo...................................................................................... 85
Medidas de seguridad de nivel medio.............................................................. 85
Documento de seguridad............................................................................ 85
Responsable de seguridad........................................................................... 86
Auditoría..................................................................................................... 86
Identificación y autenticación .................................................................... 86
Autorización ............................................................................................... 86
Control de acceso físico.............................................................................. 86
Gestión de soportes..................................................................................... 86
Registro de incidencias............................................................................... 86
Pruebas con datos reales............................................................................. 87
Medidas de seguridad de nivel alto.................................................................. 87
Distribución de soportes............................................................................. 87
Registro de accesos..................................................................................... 87
Copias de respaldo y recuperación............................................................. 87
Telecomunicaciones.................................................................................... 87
Normativa sobre Protección de Datos de Carácter Personal................................. 88
Ley de Servicios de la Sociedad de la Información y Comercio Electrónico
(LSSICE)........................................................................................................... 88
Constancia registral del nombre de dominio......................................................... 88
Información general............................................................................................... 89
Comunicaciones comerciales por vía electrónica.................................................. 89
Contratación de servicios por vía electrónica........................................................ 90
Normativa sobre comercio electrónico.................................................................. 91
Referencias y lecturas complementarias................................................................. 91
Bibliografía ............................................................................................................ 91
Internet................................................................................................................... 91
Navegación anónima........................................................................................ 91
Spyware............................................................................................................ 92
Cookies............................................................................................................. 92
Rastros.............................................................................................................. 92
LOPD................................................................................................................ 92
viii Contenido
CAPÍTULO 3. CID: Confidencialidad, Integridad, Disponibilidad ..... 93
Confidencialidad........................................................................................................ 95
Confidencialidad en el almacenamiento de datos................................................. 97
Herramientas de cifrado de archivos................................................................ 98
El sistema de archivos de cifrado de Windows (EFS)..................................... 99
Herramientas de línea de comando para EFS............................................ 104
Limitaciones de EFS y posibles soluciones................................................ 104
Guía de mejores prácticas para el uso de EFS........................................... 106
Alternativas a EFS...................................................................................... 106
Discos duros cifrados ....................................................................................... 106
Confidencialidad en el transporte de datos ........................................................... 107
Cifrado de los datos en el navegador............................................................... 109
Cifrado de los mensajes de correo electrónico................................................. 110
Outlook Express ......................................................................................... 111
PGP............................................................................................................. 112
Esteganografía............................................................................................ 113
Cifrado de otros protocolos.............................................................................. 114
Túneles SSL................................................................................................ 114
SSH............................................................................................................. 115
IPSec................................................................................................................. 116
Integridad................................................................................................................... 117
Integridad en el almacenamiento de datos............................................................ 118
Control de cambios........................................................................................... 118
Firma de archivos............................................................................................. 118
md5sum ...................................................................................................... 119
fsum ............................................................................................................ 120
sfv................................................................................................................ 120
Integridad en bases de datos ............................................................................ 121
Integridad en el transporte de datos ...................................................................... 121
Integridad de los datos en el navegador........................................................... 121
Integridad de los mensajes de correo electrónico............................................ 122
Disponibilidad............................................................................................................ 122
Tolerancia a fallos.................................................................................................. 123
Protección del entorno...................................................................................... 124
Fallos en el suministro eléctrico................................................................. 124
Detección y extinción de incendios............................................................ 125
Calefacción, ventilación y aire acondicionado........................................... 126
Seguridad física de los equipos .................................................................. 126
Protección del hardware................................................................................... 127
Sistemas RAID ........................................................................................... 127
Redundancia en el almacenamiento........................................................... 128
Cluster de servidores .................................................................................. 130
Interrupción de la conexión de red............................................................. 131
Protección del software .................................................................................... 131
Recuperación de sistemas ...................................................................................... 131
Copias de seguridad del sistema de archivos................................................... 131
Información a copiar .................................................................................. 132
Tipos de copia de seguridad....................................................................... 132
Contenido ix
Duración de las copias de seguridad.......................................................... 134
Tipos de medios de almacenamiento.......................................................... 136
Lugar de almacenamiento de las copias de seguridad............................... 137
Responsable de las copias de seguridad..................................................... 137
No todo el monte es orégano...................................................................... 137
Copias de respaldo del estado del sistema....................................................... 138
Utilidad de copia de seguridad de Windows ......................................................... 139
Creación de copias de seguridad................................................................ 140
Restauración de datos................................................................................. 141
Creación de disco de recuperación automática del sistema....................... 141
Utilidades de copia de seguridad profesionales............................................... 142
Plan de contingencia.............................................................................................. 142
Plan de continuidad de negocio....................................................................... 143
Plan de recuperación ante desastres................................................................. 145
Otros conceptos de seguridad................................................................................... 146
Autenticación......................................................................................................... 146
Contraseñas...................................................................................................... 146
Certificados digitales........................................................................................ 147
Identificación biométrica ................................................................................. 147
Autenticación multifactor ................................................................................ 148
Autorización........................................................................................................... 148
Listas de control de acceso............................................................................... 149
Identidad de código.......................................................................................... 149
Reglas de filtrado ............................................................................................. 150
Auditoría................................................................................................................ 150
No repudio.............................................................................................................. 150
Firmas electrónicas y certificados digitales............................................................ 150
Firmas electrónicas................................................................................................ 151
Certificados digitales ............................................................................................. 152
Información almacenada en certificados......................................................... 154
Formatos de archivo de certificado estándar................................................... 155
Sintaxis estándar de intercambio de información personal
(PKCS #12)........................................................................................... 155
Sintaxis estándar de mensajes criptográficos (PKCS #7).......................... 155
Sintaxis estándar de petición de certificados (PKCS #10) ........................ 156
Tipos de certificados......................................................................................... 156
Certificados de servidor.............................................................................. 156
Certificados personales............................................................................... 156
Certificados de edición de software............................................................ 156
Certificados de entidad emisora de certificados......................................... 156
Cómo conseguir un certificado digital de prueba............................................ 157
Almacenamiento seguro de certificados digitales ........................................... 157
Autoridades de certificación.................................................................................. 158
Listas de revocación de certificados ...................................................................... 161
Referencias y lecturas complementarias................................................................. 162
Bibliografía ............................................................................................................ 162
Internet................................................................................................................... 162
Confidencialidad.............................................................................................. 162
Integridad......................................................................................................... 163