Ing. USBMed, Vol. 3, No.

1, Enero-Junio 2012

MODELO DE SEGURIDAD DE LA INFORMACIÓN

Sandra M. Bonilla Jaime A. González
Bancolombia GrupoMide SA
Medellín, Colombia Medellín, Colombia
[email protected] [email protected]

(Tipo de Artículo: Reflexión. Recibido el 01/11/2011. Aprobado el 12/01/2012)

RESUMEN
Para implementar un modelo de seguridad en las organizaciones, se debe seguir unos pasos esenciales para una adecuada
toma de decisiones y elevar así los niveles de seguridad en la información. Este artículo hace un recorrido por las diferentes
configuraciones para el diseño de la seguridad, empieza por la identificación de las amenazas informáticas, que constituye el
primer paso para una buena protección de los flujos de datos que se manejan en las organizaciones. Continúa con el análisis e
identificación de los riesgos, para mitigar el impacto en caso de la materialización de los mismos, generar los controles y
políticas de seguridad las cuales pueden ser fácilmente cuantificadas y diseñadas de acuerdo con lo establecido en el paso
anterior, para así tener un adecuado control sobre los impactos en la seguridad. Finaliza con el modelo de seguridad, donde se
identifican los requerimientos y se desarrolla la arquitectura de la red.

Palabras Clave
Arquitectura de red, aseguramiento de red, políticas de seguridad, seguridad informática.

SECURITY MODEL OF INFORMATION

ABSTRACT
To implement a security model on corporate organizations, there are some essential steps that need to be taken into account in
order to achieve adequate decision-making, thus increasing security levels on the information. This article makes a review on
different configurations for security designs; it begins by identifying the informatics risks, which constitutes the first step for
proper protection of data stream managed by organizations. It continues with the analysis and identification of the risks to
mitigate their effect it they become real, and creating controls and security policies, which in turn can be easily quantified and
designed according to all that has been established on previous steps, thus having and adequate control over the security risks.
Finally a security model is presented, where the requirements are identified and the network architecture is developed.

Keywords
Computer security, network architecture, network assurance, security policy.

MODELE DE SECURITE DE L’INFORMATION

RÉSUMÉ
Pour implémenter un modèle de sécurité de l’information dans les entreprises, il faut donc de suivre des procèdes essentiels
pour prendre des décisions de manière adéquate et d’augmenter le niveau de sécurité de l’information. Cet article fait une
révision des configurations pour la conception de la sécurité, d’abord avec l’identification des menaces informatiques, qui
constitue le premier pas vers une bonne protection des flux de données qu’ont des entreprises. Après on analyse et on identifie
des risques, pour mitiger l’effet si les risques deviennent réels, aussi créer des contrôles et politiques de sécurité qui peuvent
être quantifiés et conçus facilement d’après ce qu’on a dit dans le pas antérieur, ainsi avoir un bon contrôle de leurs effets.
Finalement, on présente le modèle de sécurité, en identifiant les nécessités et en développant l’architecture du réseau.

Mots-clés
Architecture de réseau, affermissement de réseau, politiques de sécurité, sécurité informatique.

S. M. Bonilla & J. A. Gonzáles. “Modelo de seguridad de la información”.

Ing. USBMed, Vol. 3, No. 1, pp. 6-14. ISSN: 2027-5846. Enero-Junio, 2012. 6
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

1. INTRODUCCIÓN 2.1 Clasificación de las amenazas informáticas

En la actualidad, las oportunidades de negocio se Las organizaciones deben contar con suficiente
apoyan en el uso de las nuevas tecnologías, las cuales experiencia para identificar los diferentes riesgos
vienen acompañadas de riesgos significativos en el tecnológicos que pueden vulnerar su continuidad en el
manejo de la información. Esto hace que su negocio. Estos riesgos se pueden clasificar como
administración tenga un papel importante, porque amenazas internas o externas; las primeras son
debe partir de una adecuada identificación de generadas por factores internos de la organización y
elementos críticos y, sobre todo, tener claro cuáles son las segundas por factores externos.
los riesgos y clasificarlos; para luego diseñar
estrategias y controles apropiados de mitigación en Amenazas externas. Se originan al interior de la
cuanto a su seguridad y poder alcanzar una buena organización y algunas de las más frecuentes son:
toma de decisiones. virus ―gusanos, caballos de Troya―, spam,
represalias de ex-empleados, espionaje industrial o
En el mercado actual, las organizaciones deben basar ingeniería social [1].
sus procesos en sistemas informáticos que cada día
dependen más de la tecnología. Para garantizar la Amenazas internas. Se generan al interior de la
permanencia y la competitividad del negocio en el organización por los mismos usuarios, ya sea con o
mercado, es necesario proteger esa infraestructura sin intención. Pueden ser muy costosas debido a que
tecnológica. También es común que se disponga de el infractor, por ejemplo un empleado descontento,
pocos recursos para las áreas tecnológicas, pero esto conoce muy bien la estructura organizacional, tiene
no debe justificar dejar de implementar e invertir en mayor capacidad de movilidad dentro de la misma,
seguridad. mayor acceso y perspicacia para saber dónde reside
la información sensible e importante.
Muchas organizaciones tienen el pensamiento
paradigmático de no destinar fondos para el Dentro de estas amenazas tambi n se incluye el uso
componente de seguridad de la información, pues indebido del acceso a nternet por parte de los
según la mayoría, éstos elevan los costos de la empleados, as como los problemas que podrían
misma. Pero lo que no es tenido en cuenta a la hora ocasionar al enviar y revisar material ofensivo a través
de llegar a estas conclusiones es que, no contar con de la red [1]. Cuando una de estas amenazas se hace
ello, puede generar sobrecostos representados en la efectiva se convierte en un ataque, el cual puede ser
afectación de la imagen, la realización de re-procesos, activo o pasivo. El primero sucede cuando el ataque
riesgos en el manejo de los datos y de los recursos se vuelve evidente y directo a los servicios
financieros, entre otros. tecnológicos de la organización y el segundo cuando
el riesgo está orientado a la pérdida de información
Por lo tanto, en un mundo donde los sistemas cobran secuencial y progresiva [1].
cada vez mayor importancia, considerar este aspecto
dentro de la planeación estratégica constituye en un Este tipo de amenazas deben ser identificadas
factor clave para el éxito de las organizaciones. oportunamente mediante un seguimiento exhaustivo a
los patrones de comportamiento, tanto de los sistemas
2. AMENAZAS INFORMÁTICAS como de los usuarios internos y externos de la
Con la aparición y masificación del uso de las redes organización, de manera que se puedan identificar
informáticas y en especial de Internet, las irregularidades en el proceso continuo de la
organizaciones implementaron gran variedad de información.
servicios para facilitar el manejo de la información e
incrementar sus posibilidades de negocios. Es muy importante que las organizaciones inviertan y
Desafortunadamente, al mismo tiempo surgieron adopten mecanismos de seguridad que permitan
individuos que realizan actividades ilegales con el resguardar su activo más importante, la información.
objetivo de irrumpir en los flujos de información Cada día las amenazas informáticas aumentan en
privados y confidenciales, haciendo que esas redes se número y complejidad, para lo cual se debe estar
convirtieran en un entorno inseguro. preparado.

Ninguna industria está exenta de esto, porque puede 2.2 Estado actual en Colombia
presentar vulnerabilidades que arriesguen la En los resultados de la XI Encuesta Nacional de
integridad, confidencialidad y disponibilidad de los Seguridad Informática, realizada a través de la Web
datos, al ser atacados por entes externos o internos de por la Asociación Colombiana de Ingenieros en
la misma organización, mientras ella no tiene el Sistemas ACIS y en la que participaron 215 personas
conocimiento o los sistemas necesarios para su de diferentes sectores productivos y varias
detección. Por tal motivo, se han orientado esfuerzos organizaciones especializadas en seguridad, se revela
en procura de investigar acerca de las diversas información sobre los tipos de incidentes o fallas
amenazas informáticas y con el ánimo de alertarlas y tecnológicas en seguridad informática más frecuentes
motivar en la búsqueda de una protección integral y las causas de las mismas.
contra esta latente, sigilosa y peligrosa amenaza [1].

7
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

En la Figura 1 se muestran los incidentes de seguridad 3. IDENTIFICACIÓN Y ANÁLISIS DE RIESGOS

presentados en los últimos años ―2009, 2010 y La identificación y análisis de riesgos es una
primer semestre del 2011―. Según los estudios metodología que se enfoca en cómo evitar o reducir
realizados, en el año 2009 se reportó que el mayor los peligros asociados con la seguridad de la
número de incidentes presentados fueron causados información. Para ello, es necesario realizar una
por virus y por la instalación de software no autorizado. evaluación cuidadosa de todos los factores internos y
En el 2010, estos incidentes se disminuyeron externos que intervienen o afectan los servicios de la
notablemente, pasaron de 70 incidentes causados por organización.
virus a 20 y disminuyeron progresivamente en el
transcurso de 2011. Lo mismo se puede identificar con Para tener un conocimiento de lo que se debe
la instalación del software no autorizado, en 2009 se asegurar y tomar la mejor decisión en las
evidenciaron 60 incidentes a causa de esta falla en herramientas, metodologías, o prácticas a utilizar, es
seguridad, disminuyó a 20 incidentes o menos en 2010 importante hacer una evaluación consiente y profunda
y 2011 [2]. del riesgo. Lo primero es identificar los riesgos, es
decir, recopilar todos los activos informáticos de la
organización y seleccionar cuáles son los elementos
críticos que pueden ser afectados por algún riesgo, la
probabilidad de que ocurra y los costos que involucran.
Luego, se identifican todas las amenazas informáticas,
tanto internas como externas.

Al momento de hacer el análisis de riesgos, se toman

las amenazas y se analizan con cada uno de los
activos que se tiene; esto se evalúa por medio de una
calificación de riesgos y con base en lo que afecta, el
costo involucrado y el tiempo que se requiere para
Fig. 1: Incidentes de seguridad [2]
corregirlo. Posteriormente, se identifican los
mecanismos para tratar los riesgos en cuanto a cómo
En la Figura 2 se muestra el aumento en los niveles de reducirlos, evitarlos, mitigarlos o transferirlos. Estos
inversión, durante los años de 2009, 2010 y 2011, que mecanismos se implementan en diseños de seguridad,
han hecho las empresas para mejorar la seguridad, lo funcionalidades, políticas, configuraciones, monitoreo
cual se ha visto reflejado en la disminución de y seguimientos periódicos.
incidentes [2]. Para lograrlo se necesitó de una
inversión en elementos de control que permitieran El principal objetivo de la evaluación de riegos es
incrementar la seguridad en las organizaciones. Si se garantizar la supervivencia de la organización,
hace un buen análisis de las necesidades y de los minimizando las pérdidas de información y, sobre todo,
riesgos tecnológicos, es posible optimizar los recursos garantizando el riesgo mínimo en cada elemento de
para las necesidades según los requerimientos de la red o software que se emplee para su protección [3].
información a proteger. Para ello se debe hacer el análisis de riesgos para
identificar las vulnerabilidades del sistema, en qué
riesgos se esta incurriendo y cómo mitigarlos.

Las empresas han venido utilizando un modelo

reactivo al momento de presentarse un incidente que
afecte su estabilidad tecnológica, lo cual genera re-
procesos y que estos incidentes, al no ser medidos,
alcancen un alto impacto en la continuidad del
negocio. Uno de los problemas es que no manejan
una base de datos de conocimiento que permita
reconocer patrones de errores, lo que puede generar
alertas tempranas para identificar oportunamente los
incidentes de seguridad y que permitan crear
indicadores de seguimiento en su resolución. Muchas
de las pérdidas financieras en las organizaciones se
Fig. 2: Inversión en seguridad [2] deben a la falta de un adecuado control e
implementación de políticas de seguridad [4].
Los resultados de la encuesta muestran cómo las
organizaciones han venido mejorando e invirtiendo en Algunas organizaciones, al notar que tenían perdidas o
mecanismos y dispositivos para asegurar su que incurrían en riesgos por incidentes tecnológicos,
información, mediante la implementación y uso de optaron por la creación de equipos de trabajo
buenas prácticas en la protección y en controles de especializados que se encargan de ellos. Estos grupos
seguridad. inter-institucionales se denominaron gerencias de
continuidad del negocio o gerencias de manejo de

8
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

riesgos de TI y su principal objetivo es prevenir, claro qué se va a proteger. De este análisis se puede
mediante herramientas, que se generen datos identificar los riesgos presentes en la organización y
medibles, valores estadísticos y valores históricos de evaluar su impacto para establecer los controles y de
los posibles riesgos, tanto a nivel físico o tecnológico, esta manera mitigar los impactos más significativos.
inherentes a la propia naturaleza del negocio.
4.2 Definir las políticas de seguridad
Hoy en día con la integración e interconexión de Desde la arquitectura de los sistemas de información
infraestructuras, las organizaciones deben se puede cuantificar fácilmente los riesgos. Este
implementar métodos y técnicas que permitan mejorar modelo puede cubrir aspectos gerenciales,
esos controles de seguridad. Actualmente existen operacionales o puramente técnicos y puede ser
controles tecnológicos basados en software o en diseñado para evaluar el riesgo de seguridad asociado
hardware, como firewalls, sistemas para detección y con diferentes arquitecturas de red, o para evaluar el
prevención de intrusos, sistemas de control de acceso, impacto en las diferentes políticas diseñadas para la
entre otros. Estos controles se deben integrar con las seguridad organizacional.
plataformas existentes en la organización y hacer un
plan de divulgación a las demás áreas, de tal forma Las políticas de seguridad son una declaración de lo
que toda la organización participe activamente para que se puede o no se puede hacer dentro de la
generar una cultura que permita cubrir los diferentes empresa, por ello se debe contemplar, sin limitarse:
frentes de inseguridad o vulnerabilidades que se
pueda tener [5].  El nombre del dueño de la política y que es el
responsable de que se cumpla.
En algunas organizaciones se tienen implementados  El grupo de personas que deben acatarla.
procesos que deben ser re-ajustados a políticas y  Enunciar la política, tener un procedimiento claro y
técnicas nuevas, con el objetivo de implementar una un objetivo.
adecuada seguridad. El cambio de estos  Debe tener sanciones por el incumplimiento de las
procedimientos puede generar inconformismo o políticas, lo que le dará más validez.
rechazo por parte de los empleados o de las diferentes
áreas de la empresa y, para evitarlo, se debe hacer un 4.3 Diseñar la arquitectura de red
plan de concientización donde se expongan los Dentro del diseño de esta arquitectura se analizan
riesgos en los que se esta incurriendo y sus posibles factores como: identificación de requerimientos,
consecuencias [3]. desarrollo de la estructura de la red, aprovisionamiento
de hardware, diseño de elementos de seguridad,
Una organización, que no tenga implementada una implementación y monitoreo.
base de conocimiento sobre incidentes y riesgos
tecnológicos, se ve afectada repetitivamente por los La identificación de los requerimientos se genera de
mismos, debido a que no realiza una adecuada acuerdo con las necesidades que surgen en la etapa
identificación y evaluación del riesgo que le permita de identificación y análisis de riesgos. En el desarrollo
medir el impacto que pueda legar ocasionar. de la estructura de red se debe tener en cuenta la
integración de los dispositivos con la arquitectura de
Conocer las vulnerabilidades e implementar seguridad, para lo cual se realizan dos subdivisiones,
procedimientos para combatirlos es importante, sin una que es hacia internet o redes externas y otra que
embargo, hasta ahora no se cuenta con medidas de es la red interna de la organización.
seguridad que garanticen completamente una
protección total. Por tal motivo es importante evaluar Es importante identificar los servicios más críticos para
los métodos a utilizar para minimizar de manera la organización, para ello se evalúa cuáles son los
sustancial los riesgos que se tienen en las procesos más importantes, si los procesos internos o
organizaciones [6]. los procesos de cara a los clientes, como las páginas
Web u otras herramientas. Después de esto se sabrá
4. MODELO DE SEGURIDAD PROPUESTO qué proteger, para lo cual se deben tener claros los
El modelo de seguridad expuesto a continuación, es la conceptos de DMZ, o Zona desmilitarizada y MZ o
base para implantar una arquitectura de seguridad Zona militarizada o red interna. La primera es la red
eficiente, invirtiendo en lo que se necesita y logrando que se utiliza para hacer las interconexiones a las
así un retorno de la inversión a corto plazo. Para la redes externas. Todas las redes internas deben tener
implementación del modelo de seguridad se deben conexiones hacia redes externas a través de la DMZ y
seguir los siguientes pasos: viceversa. La segunda, es aquella red donde se
encuentran todos los elementos internos de las
1. Identificar y analizar los riesgos organizaciones y no requiere una conexión directa con
2. Definir las políticas de seguridad las redes externas.
3. Diseñar la arquitectura de red
Estas dos zonas son las que existen en todo tipo de
4.1 Identificar y analizar los riesgos organización o red y que se deben asegurar. Con base
Lo más importante para poder iniciar con la en los resultados arrojados por el análisis de riesgo e
implementación de un sistema de seguridad es tener identificada la zona esencial para el funcionamiento de

9
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

la organización, se debe implementar mayor inversión  No se puede hacer consulta directa a la red interna
en la seguridad, sin descuidar la otra zona, la cual desde una red externa.
debe tener una protección básica. En la Figura 3 se  Se debe implementar una solución de red que
muestra una topología básica de una red en la que se incluya segmentación y listas de control de acceso
puede identificar las diferentes zonas. según los servicios de la organización:
 Segmento de red para servidores.
 Segmento de red para administración de
dispositivos.
 Segmento de red según los diferentes perfiles
de usuarios:
 Infraestructura o granjas de servidores.
 Telecomunicaciones o dispositivos de red.
 Monitoreo.
 Áreas de trabajo (cada área debe estar en un
segmento de red para control de privilegios).
 Invitados.
 Perfilar la navegación y consultas a los aplicativos
según segmentos de la red y usuarios.
 Navegación contralada por medio de proxy. Esta
también es por perfiles de navegación.

Los elementos y dispositivos de seguridad son

Fig. 3: Arquitectura Básica de Red esenciales y se deben tener en cuenta en toda red:

A continuación se describe el aseguramiento para Firewall. Es un enrutador programado que se ubica

cada una de las zonas y cómo realizar la protección entre redes y que re-envía, direcciona y filtra flujo de
interna para la MZ y la externa para la DMZ. datos que pasan de una red a otra, mediante reglas
como direccionamiento, protocolos y puertos, entre
4.3.1 Aseguramiento interno otras [7].
Para la red interna se habla de un diseño en el que
incluya la red de todos los usuarios y las granjas de Evita que los usuarios accedan a un host o a servicios
servidores, la protección de las conexiones de redes específicos y ayuda a proteger la red de ataques como
externas y de la red de usuarios y el flujo de datos que denegación de servicios [7]. Para la seguridad interna
salen y entran. Es importante tener claridad en que no se recomienda montar un firewall en el perímetro de la
se debe establecer una conexión directa con las redes red, con las reglas necesarias para la comunicación
externas, pues ello genera vulnerabilidad en la entre los segmentos.
infraestructura. Una arquitectura de seguridad básica y
sencilla en una organización está conformada por un En el mercado se encuentra gran variedad de ofertas,
firewall, un enrutador o modem y la red interna. tanto en software como en hardware. Algunos, como
Todas las redes poseen una DMZ y una MZ, algunas Juniper Networks, Barracuda y Cisco son muy
veces la primera no está bien identificada porque no robustos y con capacidad para múltiples
se tienen servidores de cara a internet. En estos casos configuraciones tanto básicas como avanzadas.
la DMZ es un modem que suministra el proveedor de También existe el IPTABLES, que es gratuito y que
internet (ISP), y la MZ es el resto de la red de la permite diversas configuraciones. Para un tráfico
organización. Cuando se tiene un sitio web informativo moderado, es decir, para pequeñas y medianas
se debe proteger con un firewall, porque a través de él empresas, éste es un firewall recomendado; es una
se permite la comunicación entre la red interna y la herramienta software que se puede instalar en un
externa. Es decir, todas las solicitudes que vienen computador en la red.
desde y hacia internet. Es entonces cuando la DMZ se
encarga de resolver las consultas Web, sin exponer la Enrutador. Es el punto donde se conectan dos o más
seguridad de la red interna en la que se encuentra la redes [7] y se usa básicamente para la conexión a
información de la organización. internet, pero también puede ser utilizado para
separaciones de tráficos internos en organizaciones
El diseño de seguridad debe puntualizar la seguridad muy grandes. En una pequeña o mediana empresa se
de la red interna, donde se realizará el análisis de los recomienda la implementación y configuración de un
puntos críticos a proteger, y que cubre la granja de enrutador para la conexión con el proveedor o
servidores, con todos los aplicativos y bases de datos proveedores de internet y para el control del tráfico
de la empresa, al igual que la red de usuarios. interno se puede utilizar un firewall. También se puede
hacer por medio de switches, si soportan VLAN y listas
A continuación se listan algunos de los puntos claves de control de acceso.
que se deben tener en cuenta a la hora de
implementar una red interna y de esta forma no Red Inalámbrica. Si se posee un servicio inalámbrico,
comprometer la seguridad de la organización: es importante tener en cuenta que en estas redes se

10
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

conectan muchos dispositivos, como equipos móviles, ataque. Para esto es importante hacer un monitoreo
portátiles y equipos de invitados, por esto se de alertas, porque sin esto sería una herramienta inútil
recomienda tener al menos dos redes inalámbrica, con y, en caso de nos ser posible, por lo menos tener
el objetivo de separar la red de empleados, con sus programada una revisión periódica. Los sitios más
segmentaciones respectivas, y la red de invitados. recomendables para su instalación son: en la entrada
Esta última de debe configurar sólo con permiso de de la red, ya que es por donde inician los ataques, en
navegación y restringiendo también el perfil en el la red de usuarios y en la granja de servidores. Si hay
proxy. Adicionalmente se debe restringir el resto de más de una red de usuarios se debe implementar un
servicios que se ofrece en la red de la organización. IDS por cada red que existe en la organización.
En la segmentación también se recomienda utilizar
listas de control de acceso, para incrementar la Los IDS son un conjunto de reglas que detectan
seguridad en la red. Ambas redes deben tener patrones de navegación y que se deben configurar de
contraseñas, las cuales deben ser diferentes. acuerdo con lo que se esté revisando; por ejemplo, si
se revisa la red de usuarios con sistemas Windows,
Todas las redes inalámbricas deben tener configurado las reglas se deben configurar para este sistema. Es
un cifrado, con el fin de garantizar la seguridad en las importante establecer las reglas que deben ir en cada
conexiones. En las redes inalámbricas internas se uno de los IDS para disminuir el número de falsos
recomienda el WPA2 con AES para la autenticación de positivos y para ayudar a la revisión de eventos.
los usuarios y que estén configurados en un servidor
RADIUS; para los usuarios externos o invitados se Existen muchas herramientas para este fin, por lo que
puede implementar WPA o WEP. se debe analizar correctamente el tráfico que se va a
procesar antes de elegir una de ellas. El SNORT es
Red cableada. En esta infraestructura se recomienda muy utilizado para pequeñas y medianas empresas y
restringir los puertos de los dispositivos de red a un es un IDS muy robusto que tiene comunidades
número finito de conexiones de equipos; normalmente actualizando continuamente las reglas y que cada
a un puerto sólo se conecta un equipo. Si existen usuario puede implementar según el conocimiento que
áreas en la organización en las que se necesite una tenga y la necesidad de la organización. Es una
configuración diferente, se hace un estudio para herramienta gratuita.
implementar un número finito que pueda soportar las
necesidades y que cumpla con la seguridad. Se Sistemas de monitoreo. Son herramientas para
recomienda utilizar swhitches que soporten listas de visualizar logs y eventos que, cuando se implementan
control de acceso y VLAN para la segmentación de la con una herramienta de correlación de eventos,
red, de acuerdo con los perfiles y permisos de los proporcionan información clave para la identificación
usuarios. En lo que tiene que ver con la administración de incidentes de seguridad. El costo para sostener una
y el monitoreo se recomienda hacer revisiones del herramienta de éstas es alto, debido a que su
consumo de la navegación y de los segmentos de la mantenimiento que depende de días de monitoreo.
red, para evaluar un cambio no esperado y para
detectar posibles ataques externos o acciones Dependiendo del objetivo de la empresa y del riesgo
indebidas realizados por usuarios internos. estudiado, se debe evaluar si es necesario
implementar un sistema de monitoreo o no. Si no es
Antivirus. Es un elemento fundamental en las muy crítico se recomienda, al menos, tener un registro
organizaciones. Es una herramienta para la que no se de esta información para hacer una revisión periódica
debe limitar o restringir la inversión, pues no tenerla y hacerle ajustes al sistema. También se debe
puede traer costos muy altos como pérdida de configurar el registro de logs y el envío de alertas en
información, suspensión de servicios de producción, los dispositivos de red, con el fin de poder reaccionar a
entre otros. Se recomienda tener instalado el antivirus tiempo ante un ataque o evento inesperado.
en cada uno de los equipos de la red y no olvidar que
ciertos dispositivos móviles también lo necesitan. Proxy. Es una herramienta que direcciona los
requerimientos de los usuarios hacia internet, de tal
Algunos de los antivirus más recomendados, de forma que permite hacer controles en la navegación
acuerdo con el sitio pcworld.com, son: Symantec [9]. Esto ayuda en la seguridad al navegar en sitios no
Norton Antivirus, BitDefender Antivirus Pro, G-Data deseados, a evitar riesgos para la compañía y,
AntiVirus, Kaspersky Lab Anti-Virus, entre otros [8]. además, se puede asignar puertos para la navegación
y otros servicios a través de internet.
IDS/IPS. Es un sistema usado para detectar
intrusiones dentro de los sistemas de cómputo y redes Existe gran variedad de proxy basados tanto en
[9]. El IDS, o sistema de detección de intrusos, es una software como en hardware; algunos tienen
herramienta que genera alertas de posibles ataques o licenciamiento por número de usuario, ancho de banda
incidentes en la red. Es recomendable utilizar más de o equipos y otros que no tienen ningún costo, como el
uno, con el objetivo de poder generar alertas y hacer Squid, que es una herramienta versátil y robusta que
una correcta correlación de eventos después de posee gran número de funcionalidades como caché,
ocurridos y para ver si fue una falsa alarma o un filtrado de contenido, estadísticas de navegación,

11
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

definición de perfiles para usuarios o grupos de Los elementos y dispositivos de seguridad que se
usuarios, perfiles de subredes, administración de recomienda instalar y configurar en una DMZ son:
ancho de banda, entre otras. proxy reversos, firewall, VPN, antivirus y detección de
intrusos.
Controlador de dominio. Este sistema permite controlar
y definir perfiles, permisos de acceso a los usuarios y Firewall. En este caso se utiliza para proteger la DMZ
autenticación de dispositivos de la empresa y para permitir la conexión administrativa sólo desde
dependiendo del cargo o responsabilidades del sitios seguros o de la MZ y la configuración de las
empleado y de esta forma garantiza la seguridad de conexiones a los servicios únicamente por los puertos
los sistemas. Gracias a esta herramienta se pueden deseados, bloqueando el resto. El firewall se debe
administrar los perfiles de los usuarios y controlar configurar de tal forma que pueda registrar eventos
todos los accesos a aplicativos, archivos, relacionados con número de conexiones, intentos de
almacenamiento, entre otros elementos de la empresa. conexiones, entre otras configuraciones que permitan
De acuerdo con los permisos se puede evitar la identificar, controlar, administrar y prevenir posibles
instalación de software no deseado, la realización de ataques, sean internos o externos.
diferentes configuraciones de los equipos, entre
muchas otras funcionalidades que ayudan a proteger Antivirus. Esta herramienta se instala con el fin de
la red. proteger la información que se despliega a los clientes
o que llega a los servidores; debido a esto los antivirus
VPN o Red privada virtual. Es una red lógica y segura se instalan en los equipos directamente o específicos
que se establece sobre una red existente [7]. Su para los servidores. El antivirus, además de proteger
funcionalidad permite, solamente cuando es necesario, los servidores, protege a los usuarios que acceden a
establecer conexiones remotas seguras hacia la red los aplicativos o servicios. Son esencialmente de red,
interna. Existen muchas herramientas para la o si se tiene un servidor Windows, instalar un antivirus
configuración de una VPN, tanto en software como en adicional en él.
hardware, igual que licenciadas o gratuitas.
IDS/IPS. La implementación de estos dispositivos es
4.3.2 Aseguramiento externo igual a la de la red interna. Los IDS/IPS tienen reglas
En el aseguramiento de la red externa o DMZ se exclusivas para el funcionamiento de los servidores
tienen los servidores que prestan servicios hacia que varían dependiendo de los servicios ofrecidos y de
Internet, los cuales están de cara al cliente, es decir, los sistemas utilizados.
servidores de FrontPage, servidores de correo, FTP,
entre otros. Son servidores que no se pueden cerrar a Sistemas de monitoreo. Su configuración es igual a la
la visualización de personas en redes externas y, por de la red interna. Los costos involucrados para un
tanto, se debe tener una protección diferente. Si el buen monitoreo se deben evaluar según la necesidad
objetivo del negocio depende de estos servicios y si de la empresa, aunque es importante hacer revisiones
existen riesgos muy críticos en la DMZ, es de vital periódicas y generar un sistema de alarmas de
importancia proteger esta área, porque está expuesta posibles ataques, consumo de recursos y
en internet a todos los públicos. Los servidores que disponibilidad de los servicios.
están ubicados en esta zona pueden ser vulnerados
por los usuarios externos o empleados de la red Servidores de despliegue o proxy. Para prestar los
interna. Con el fin de evitar posibles fallas de servicios a los clientes es recomendable usar
seguridad, se debe implementar una solución que servidores proxy reversos, porque estos sistemas
garantice la protección de la red externa DMZ. trabajan haciendo un direccionamiento desde la DMZ
a la MZ de forma segura, sin necesidad de tener
El diseño de seguridad para la red externa DMZ debe directamente los aplicativos en la DMZ. También se
garantizar la disponibilidad sin vulnerabilidad y es puede trabajar el despliegue de la información y las
necesario tener en cuenta los diferentes factores que consultas a los aplicativos por la red interna, las dos
se listan a continuación para su protección: técnicas o la combinación de éstas ayuda a proteger
tanto los aplicativos como la información.
 Ofrecer una conexión directa a los servicios
prestados en Internet. VPN (Red privada virtual). Este tipo de conexión se
 De cara al cliente debe haber una visualización de utiliza para realizar la administración de los servidores
los servicios, pero no el aplicativo o el servidor o la conexión a la red interna. Cuando se habla de
directamente, es decir, deben pasar por un proxy VPN en la red interna, la conexión se hace
reverso. directamente desde la DMZ o desde Internet.
 Sólo deben estar disponible los puertos con los
servicios ofrecidos. Switch. Para tener mayor seguridad estos elementos
 La administración estará restringida y sólo los deben estar separados de los de la red interna y, para
administradores tienen acceso a la misma y se soportar el número de conexión que puede existir en
debe realizar desde sitios seguros o a través de internet, deben poseer una buena capacidad de
una VPN. tráfico.

12
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

5. BENEFICIOS DE LA IMPLEMENTACIÓN medidas, se puede obtener un mapa de riesgos para

Para implementar una buena arquitectura de compararlo con los incidentes generados en el año
seguridad en las organizaciones se debe pasar por la inmediatamente después de estar protegidos y para
identificación y el análisis de riesgos, para conocer las sustentar las inversiones hechas y las futuras. Von
necesidades y poder realizar un diseño de seguridad este procedimiento se puede ver claramente el retorno
adecuado, cubriendo los requerimientos de seguridad de la inversión y por lo tanto el costo-beneficio.
y dejando a un lado las inversiones innecesarias que
incrementan los costos de la seguridad. Se debe 6. RECOMENDACIONES
invertir en lo realmente sea necesario, se elegirán las Para la implantación y puesta en marcha del modelo
herramientas adecuadas para ofrecerles a los clientes de seguridad propuesta se deben identificar y analizar
eficientemente y con mayor calidad los servicios y los riesgos, definir las políticas de seguridad y diseñar
adquiriendo un nivel aceptable de prevención de los la arquitectura de red. La siguiente lista enumera los
riesgos. pasos que se recomienda seguir para la
implementación de una infraestructura segura:
Es importante recordar, como se ha descrito en este
artículo, que todas las herramientas o diseños son  Identificar y analizar los riesgos.
beneficiosos, siempre y cuando se haga una correcta  Listar los activos.
evaluación de las diferentes herramientas ofrecidas en  Listar todas las amenazas de la empresa.
el mercado, antes de seleccionar la más adecuada  Cruzar los activos con las amenazas.
para lograr mitigar los riesgos organizacionales. Las  Generar tablas de probabilidad y la frecuencia
herramientas de bajo costo no siempre logran con la que se va a medir.
economizar, al igual que no siempre las de mayor  Generar tablas de impacto: financiero,
costo son las de mejor funcionamiento. Puede ocurrir operacional, información (disponibilidad,
que las primeras no tengan un buen funcionamiento y confiabilidad, integridad), imagen de la
se deba invertir nuevamente en otras, o que las organización, en el mercado o clientes.
segundas no cumplan las expectativas para las que  Calcular el riesgo como la probabilidad de
fueron adquiridas. Por eso se debe tener claro el ocurrencia contra el impacto de que ocurra.
riesgo para el que se adquieren y si con ellas se llega  Evaluar la aceptabilidad y la inaceptabilidad.
a un nivel aceptable de protección para la  Generar los controles.
organización.  Definir políticas de seguridad.
 Diseñar la red.
Hay que recordar también que si se va a proteger  Análisis de requisitos.
información que genera una utilidad determinada al  Arquitectura de la red.
año, toda la organización necesita un equilibrio entre lo  Diseño de seguridad.
financiero y lo tecnológico y que si, por ejemplo, lo que  Aprovisionamiento e instalación de los
se piensa utilizar para proteger ese activo cuesta más elementos de seguridad y de la red.
que la utilidad, no es viable invertir en esa  Monitoreo y control de incidentes
herramienta, por esto es de gran importancia saber
qué se va a proteger y los niveles aceptables para 7. CONCLUSIONES
realizar la inversión. En vista de la necesidad de tener un diseño de
seguridad adecuado para la organización y un retorno
5.1 Costo-beneficio de la inversión a corto plazo, se debe implementar un
Para decidir si una herramienta o elemento de diseño de seguridad eficiente. Para esto es
seguridad es necesario en una organización se fundamental identificar y analizar correctamente los
requiere un buen análisis del riesgo. Ahora bien, si se riesgos.
analizan los virus informáticos en los equipos de la
organización se puede observar que la probabilidad de Al tener claro los riesgos más significativos y qué
ocurrencia es alta y que su impacto se evalúa por el proteger, se puede implementar un diseño de
tiempo que se perdió reparando el equipo, o por la seguridad sin necesidad de hacer inversiones en
información perdida debido a un daño en el mismo. Si equipos que no se requieren, esto sin descuidar la
se habla de un virus que se propagó por toda la protección para el buen funcionamiento de la
empresa, el impacto sería desastroso; por lo tanto los organización.
controles en este caso sería un buen antivirus
comercial, que garantice el control y unas políticas No basta con implementar un buen sistema de
claras de manejo de archivos, ya sea desde internet o seguridad que incluya a los controles, la arquitectura y
desde unidades de almacenamiento removibles. las políticas, si no se realiza el seguimiento, el
También hay que analizar lo contrario, es decir, si para monitoreo y la evaluación a la solución implementada,
un riesgo bajo con una probabilidad baja y un impacto porque las herramientas solas no hacen el trabajo. Por
casi nulo, es necesario invertir mucho tiempo y esto es importante la verificación continua y los ajustes
recursos en su protección. que se puedan realizar.

Al evaluar el costo por la perdida de la información y el

tiempo de indisponibilidad de los servicios, entre otras

13
 Ing. USBMed, Vol. 3, No. 1, Enero-Junio 2012

8. REFERENCIAS [5] W. T. Yue et al. "Network externalities, layered

protection and IT security risk management". Decision
[1] C. A. Parra & H. Porras D. "Las amenazas informáticas: Support Systems, Vol. 44, No. 1, pp. 1-16, 2007.
Peligro latente para las organizaciones actuales". [6] B. Karabacak & I. Sogukpinar. "ISRAM: information
Gerencia tecnológica Informatica, Vol. 6, No. 16, pp. 85- security risk analysis method". Computers & Security,
97, 2007. Vol. 24, No. 2, pp. 147-159, 2005.
[2] J. J. Cano et al. “III Encuesta Latinoamericana de [7] L. L. Peterson & B. S. Davie. “Computer networks: A
Seguridad de la Información”. Online, 2011. systems approach”. Morgan Kaufmann, 2011.
[3] R. Bernard. "Information Lifecycle Security Risk [8] N. Mediati. “Top 10 Paid Antivirus Programs for 2011”.
Assessment: A tool for closing security gaps". Online, 2011.
Computers & Security, Vol. 26, No. 1, pp. 26-30, 2007. [9] J. M. Kizza. “Computer Network Security”. Springer,
[4] A. C. Johnston & R. Hale. "Improved Security through 2010.
Information Security Governance". Communications of
the ACM, Vol. 52, No. 1, pp. 126-129, 2009.

14