Capítulo 4. Normativa de seguridad en instalaciones eléctricas y electrónicas

Instalación y Mantenimiento de Servicios de Internet

I.E.S. Murgi

Curso 2006-2007

Jose L. Berenguel Gómez

Índice

¿Qué es la normativa de seguridad?

Un poco de historia.

El factor humano.

La seguridad física.

La seguridad lógica.

Las medidas de control de acceso.

Prevención de riesgos laborales.

Índice

Legislación informática.

Ley Orgánica de Protección de Datos de Caracter Personal (LOPD).

Reglamento de Medidas de Seguridad (RMS).

Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI).

1. ¿Qué es la normativa de seguridad?

Se tratará de dar una base mínima de conocimientos legales, además de enumerar amenazas relacionadas con las instalaciones de sistemas de información y comunicaciones.

Problemas más relevantes

Ataques pasivos o activos de personas.

Desastres naturales.

Interferencias del entorno de trabajo.

Incendios, provocados o no.

Vulnerabilidades o agujeros de seguridad del sistema.

1. ¿Qué es la normativa de seguridad?

Solución: Crear un plan de seguridad que tenga en cuenta las siguientes situaciones:

Factor humano interno y externo a la organización

Ubicación y equipamiento de las instalaciones físicas.

Actualización del sistema.

Prohibición de todo lo que no esté permitido hacer en cada momento.

2. Un poco de historia

En 1985 apareció el primer virus para PC

Desde entonces han aparecido más de 500.000

Veamos los más relevantes de los últimos años:

1999. Melissa causa la caida de 100.000 sistemas en tan solo una semana. Daños por valor de 80-300 millones de dólares. El creador, de New Jersey, fué detenido y condenado a la cárcel.

1999. Bubbleboy es el primer gusano que se activaba al abrir el correo.

2000. Numerosos ataques de denegación de servicio (DoS, Denial of Service)

2. Un poco de historia

2000. Love Letter fue el más rápido en propagarse a los usuarios del correo hasta ese momento.

2001. SirCam atacó millones de cuentas de correo. Se reenviaba a todos los contactos.

2001. Código Rojo (Code Red) atacó miles de servidores web y Badtrans.B se reproducía al leer el correo sin necesidad de ejecutar los adjuntos. Nimda fué uno de los más propagados ese año.

2001. Ramen, primer virus específico para servidores web GNU/Linux.

2002. Klez inutilizaba programas del sistema e incluso impedía el arranque del mismo.

2. Un poco de historia

En cuanto a desastres naturales o artificiales:

2001. Ataque terrorista a las Torres Gemelas y el Pentágono.

2003. El impacto de un rayo en una central causó grandes apagones de luz en la costa este de EE.UU y Canada. California ha sufrido desde ese año varios cortes de luz por desabastecimiento.

2004. El tsunami o maremoto que se produjo en el océano Índico.

2005. Huracán Katrina. Arrosó varios estados de EEUU y golfo de México.

3. El factor humano

“La mayor causa de los problemas de seguridad en los sistemas de información son los errores humanos”

Pasivos: personas que curiosean o fisgonean en la información del sistema. No se modifican ni destruyen datos.

Activos: personas que planifican un ataque que tiene por objetivo modificar un sistema para obtener algún beneficio

4. La seguridad física

Podemos englobar las amenazas o ataques físicos

Desastres naturales, no se pueden prever pero hay que tenerlos en cuenta.

Desastres por interferencias del entorno de trabajo.

Incendios.

Debemos tomar las medidas necesarias para salvaguardar la seguridad del hardware del sistema.

5. La seguridad lógica

Consiste en técnicas lógicas que protejan el acceso a los datos.

Las verificaciones a tener en cuenta serán:

Actualización continua del sistema

Uso de protocolos de comunicación seguros.

Prohibición como configuración por defecto.

Factores que influyen en las amenazas:

Torpezas y/o accidentes

Software incorrecto: bugs

Herramientas de seguridad inseguras

Programas maliciosos: virus, gusanos, spyware, etc.

6. Las medidas de control de acceso

Evitar que los atacantes tengan acceso físico al sistema.

Sistemas humanos, como la contratación de guardias de seguridad.

Sistemas biométricos: huella dactilar, voz, iris...

Sistemas electrónicos: camaras, sensores, ...

Sistemas lógicos: tarjetas de acceso con PIN, contraseñas, etc.

7. Prevención de riesgos laborales

Todo trabajador y empresario debe saber que en España existe una Ley de Prevención de Riesgos Laborales 31/1995 (LPRL). Finalidades:

Combatir la siniestralidad laboral.

Fomentar la prevención.

Integrar prevención y empresa

Mejorar el control de este cumplimiento.

También existe la Directiva Marco 89/391 de caracter internacional de la OIT (Organización Internacional del Trabajo). http://www.ilo.org/public/spanish/

8. Legislación informática

“El desconocimiento de la ley no exime de su cumplimiento”.

La Constitución (1978) reconoce el derecho fundamental a la privacidad o intimidad.

Artículo 18.3. Garantiza el secreto de las comunicaciones: “Se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial”.

Articulo 18.4: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”.

8. Legislación informática

El Código Penal también protege la privacidad:

Artículo 197.1: trata sobre el correo postal y/o electrónico; en él se castiga la vulneración de la intimidad de otro por parte de quien “sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico”, o “intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación”.

El artículo 8 de la Convención Europea de Derechos Humanos trata la privacidad.

8. Legislación informática

A) Ley Orgánica de Protección de Datos de Carácter Personal (LOPD)

La Ley Orgánica 15/1999, de Protección de Datos de Caracter Personal (LOPD) viene a sustituir a la Ley Orgánica 5/1992, de Tratamiento Automatizado de Datos de Carácter Personal (LORTAD).

La Agencia de Protección de Datos se encarga de gestionar y controlar el buen funcionamiento de la Ley.

8. Legislación informática

B) Reglamento de Medidas de Seguridad (RMS)

El Real Decreto 994/1999 regula de forma clara las medidas de seguridad que se han de adoptar para cumplir la LOPD.

Se debe elaborar un documento de seguridad por cada fichero registrado en la APD que contenga básicamente esta información:

Ámbito de aplicación del documento

Medidas aplicadas para garantizar la seguridad

Funciones y obligaciones del personal

Diccionario de datos del fichero y lista de aplicaciones que acceden a ellos

Gestión de incidencias de los inscritos

Gestión de las copias de seguridad

8. Legislación informática

C) Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI)

La Ley 34/2002 (LSSI) tiene dominio propio: http://www.lssi.es

Fué muy polémica porque recorta libertades.

Regula el comercio electrónico y la implantación de Internet y las nuevas tecnologías.

Obligaciones de los prestadores de servicios:

Registrar el nombre de dominio en el Registro Mercantil.

8. Legislación informática

C) Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI)

Dar información general a sus usuarios

Colaborar ante delitos si hay una orden judicial

Retener la información del último año en caso de ser:

Operadores de redes

Proveedores de acceso (ISP)

Proveedores de alojamiento: hosting, housing...

Regula las comunicaciones comerciales electrónicas: spam

8. Legislación informática

C) Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI)

Regula la contratación de servicios por vía electrónica

Regula el sistema de asignación de nombres de dominio geográfico de segundo nivel de España “.es”

2006-09-25T17:31:20