IN TopologiaSeguridad-ICE iDC-1.2

INSTITUTO COSTARRICENSE DE ELECTRICIDAD
GERENCIA GENERAL Versión 1.2

Topología de Seguridad del IDC del ICE Página 1 de 13
Solicitud de Elaborado por: Aprobado por: Rige a partir de:
Cambio No: Consorcio ITSInfocom Gerencia General 2010-12-21
ICE
Adquisición de Hardware y
Software para iDC
Topología de Seguridad del IDC
del ICE
Código de Proyecto: PRY_CNGS_02
Versión Numero: 1.2
Autor: Consorcio ITSInfocom
Fecha: 2010-12-21
INSTITUTO COSTARRICENSE DE ELECTRIDAD Versión: 1.2
Gerencia General
Adquisición de Hardware y Software para iDC Página 2 de 13
Topología de Seguridad del IDC del ICE
Tabla de Contenidos
0. Información del Documento .................................................................................................................................................... 3
1. Introducción............................................................................................................................................................................. 5
1.1. Objetivo del Informe........................................................................................................................................................ 5
1.2. Responsabilidades.......................................................................................................................................................... 5
1.3. Revisión.......................................................................................................................................................................... 5
1.4. Referencias..................................................................................................................................................................... 5
2. Planteamiento de la solución................................................................................................................................................... 6
3. Topología de seguridad perimetral ......................................................................................................................................... 7
3.1. Primer anillo.................................................................................................................................................................... 7
3.2. Segundo anillo................................................................................................................................................................ 7
3.3. Tercer anillo.................................................................................................................................................................... 8
4. Topología de seguridad lógica................................................................................................................................................ 9
4.1. La seguridad en el modelo SDN de Sun........................................................................................................................ 9
4.1.1. Segmentación de red ............................................................................................................................................ 9
4.1.2. Redundancia de equipos..................................................................................................................................... 10
4.1.3. Mecanismos de seguridad en sistemas y elementos de red...............................................................................10
4.1.4. Mecanismos de seguridad en aplicaciones.........................................................................................................11
4.1.5. Gestión de usuarios centralizada......................................................................................................................... 11
4.1.6. El sistema de gestión........................................................................................................................................... 12
4.2. La seguridad en el modelo jerárquico de 3 capas de Cisco.........................................................................................12
5. Plan de implementación........................................................................................................................................................ 13
© Documento normativo propiedad del ICE, prohibida su reproducción total o parcial sin autorización.
Gerencia General
0. Información del Documento
Las siguientes personas colaboraron en la elaboración del documento:
Colaborador Rol o Área Funcional Firma Fecha
Pablo BALLARIN USIETO Consultor ITS 2010-12-21
Información del documento:
Fecha de creación:* 2010-12-21

Nombre del archivo:* 673740494.odt
Última vez guardado:* 02/22/11
Última vez impreso:*
*se cambia con la opción de actualizar campos.
UBICACIÓN ELECTRÓNICA DEL DOCUMENTO

DIRECCIÓN: Runbook://folder/673740494.odt
RESPONSABLE: Micaela Vera Fernández
Historia de revisión del documento:
Fecha de Área
Revisado por Descripción general de cambios
Revisión funcional
2010-12-21 Pablo BALLARÍN USIETO Consorcio Versión inicial
ITS
02/09/11 Pablo BALLARÍN USIETO Consorcio Actualizaciones aportadas tras recepción de observaciones del
ITS ICE del 10/01/2011:
* Apartado 2 Planteamiento de la solución: se especifica que el
IDC no es todavía TIERIII
* Apartado 3.1 Primer Anillo: se aclara que el acceso a la barda
es sólo para el ingreso de equipo electromecánico que requiera
el ingreso de camiones grandes
* Apartado 3.3 Tercer anillo: se quita el término guijo
* Apartado 4.1 Seguridad en el modelo SDN de Sun:
se añade diagrama de topología de red
se añade diagramas de repositorios de usuarios AD y LDAP
* Apartado 4.2 Seguridad en el modelo jerárquico 3 capas
se cambia “ruteo” por “enrutamiento”
se aclara que los módulos Anomaly Detector brindan
protección contra ataques de tipo DDoS como primera barrera
defensiva de cara a internet
se detalla el uso de los IPS
02/22/11 Pablo BALLARÍN USIETO Consorcio Actualizaciones realizadas tras las observaciones realizadas
ITS por el ICE el 21/02/11 (ejecución del plan de pruebas):
* apartado 4.1 Modelo de seguridad SDN: se segmenta el
apartado de manera que incluya los siguientes subpartados:
segmentación de red
redundancia de equipos
la gestión de usuarios
mecanismos de seguridad para servidores y elementos de red
mecanismos de seguridad para aplicaciones
sistema de gestión
Gerencia General

* Se añade el apartado 5 “Plan de implementación de la
topología de seguridad”
Gerencia General
1. Introducción
El siguiente informe se enmarca dentro de la consultoría de seguridad del proyecto “Adquisición de Hardware y Software
para iDC”. En él se establece la topología de seguridad del edificio, detallando las herramientas de hardware y software
requeridas con el fin de garantizar la seguridad informática y física para la prestación de los servicios del IDC.
1.1. Objetivo del Informe

Detallar la topología de seguridad que se ha definido para mantener la seguridad del IDC del ICE.
1.2. Responsabilidades
Responsable de Seguridad
Revisar la siguiente topología de seguridad
1.3. Revisión
La topología de seguridad debe ser revisada anualmente por el Responsable de Seguridad, y cada vez que ocurran
cambios significativos que necesiten un reajuste.
1.4. Referencias
• Manual de Seguridad (MN_Seguridad)
Gerencia General
2. Planteamiento de la solución
Para garantizar la seguridad en el IDC, el ICE establece, documenta, implanta, mantiene y mejora continuamente un Sistema de
Gestión de Seguridad de la Información (SGSI) dentro del contexto de todas las actividades y riesgos de negocio y de acuerdo
con los requisitos de las normas de referencia ISO 27001 e ISO 27002 para asegurar la conformidad de sus productos y
servicios y la información tratada para los mismos. Es en el Manual de Seguridad (MN_Seguridad) donde se define el marco de
toda la gestión del SGSI y las pautas de mejora continua.
El IDC del ICE es un centro en fase de certificación TIER III que alberga información propia y de clientes, además de todo
el conjunto de elementos que son necesarios para sustentarlo, como son el hardware (servidores, elementos de
comunicaciones, PCs,..), software (OS, Aplicaciones), infraestructuras (gabinetes, climatización, grupos electrógenos,..) y
personas. El registro Análisis de Riesgos (R_AnalisisGestionRiesgos) detalla y evalúa el conjunto de los activos del IDC
que deben ser protegidos para garantizar la seguridad de la información.
La topología de seguridad que se ha definido debe por lo tanto garantizar la seguridad perimetral y la seguridad lógica. Por
un lado se trata de defender las instalaciones frente a accesos externos no permitidos y ataques, y de garantizar la
seguridad física de las instalaciones en el interior. Por otro lado, al tener acceso a Internet y estar expuestos a amenazas
como virus, spyware o spam, se trata de asegurar la disponibilidad, privacidad, confidencialidad e integridad de la
información mediante arquitecturas lógicas adecuadas.
Gerencia General
3. Topología de seguridad perimetral

Para definir la topología de seguridad física del IDC, se han tomado las siguientes consideraciones:
• La instalación del IDC ha sido sectorizada en tres grandes aéreas ubicadas en forma de anillos concéntricos
iniciando desde afuera hacia el interior, considerando los diversos niveles de seguridad y el tipo de amenazas que
afronta desde cada punto de evaluación.
• Por aplicación de la norma que rige el diseño integral de los IDC de nivel TIER III, debe existir un oficial de
seguridad por cada 2000 metros cuadrados de instalación con un mínimo de 3 oficiales, 24 horas al día
encargados de la operación de los medios de protección. La distribución está fundamentada en la obligatoriedad
de la norma TIER para la existencia de un centro de monitoreo dentro de las instalaciones, por lo que hace
necesario mantener personal en constante vigilancia de los sistemas de seguridad electrónica y la obvia
necesidad de mantener un oficial en el puesto único de ingreso a las instalaciones. Además de estas tres
personas, un Responsable de salas TI asegura la gestión de accesos a las salas TI.
3.1. Primer anillo

El primer anillo es el perimetral externo; es decir, todos los espacios y actividades que estén situados
inmediatamente afuera de la tapia que rodea las instalaciones. La primera defensa física del inmueble está
conformada por una tapia de altitud variable de entre 3 y 4 metros de altura construida en lozas de concreto
vaciadas en sitio, de textura lisa con acabado arquitectónico en gris que rodea todo el perímetro del inmueble.
Adosada a la parte interna del muro, y siguiendo la línea de nivel de cada loza se instalará una cerca eléctrica de 3
hilos en ángulo de 45° que desestimule y prevenga los intentos de escalamiento la cual deberá estar debidamente
rotulada con mensajes de advertencia. En una segunda fase de construcción del IDC, se instalarán igualmente
videocámaras de seguridad en los postes de la valla.
La barda tendrá dos puntos de acceso, uno creado por el puesto de seguridad para el ingreso de personas y
vehículos que contará con vigilancia 24x7, y un segundo portón sobre el sector suroeste de la propiedad y que se
mantendrá monitoreado por los sistemas electrónicos de seguridad, pero no contará con vigilancia operativa directa.
Este acceso es sólo para el ingreso de equipo electromecánico que requiera el ingreso de camiones grandes, y se
mantendrá cerrado permanentemente y solo podrá ser abierto ante necesidad comprobada para efectos de servicio
de equipos.
3.2. Segundo anillo

El segundo anillo está compuesto por todas las áreas públicas y de acceso administrativo de la instalación,
considerándose jardines, estacionamientos, calles de rodamiento, patios de maniobra, oficinas administrativas,
recepción, salas de reuniones, y zonas similares.
En estos sectores el control es ejercido desde la caseta de seguridad de entrada, y vale para toda persona, ya sea
empleado, visitante, cliente o proveedor . Esta caseta de vigilancia estará gestionada por dos vigilantes de
seguridad, y contará con casilleros con llave donde se deben depositar cámaras, móviles, y dispositivos electrónicos
para almacenar información (memorias USB y discos duros portátiles), PCs para la gestión del acceso, y una
esclusa donde se llevará a cabo la detección de metales. Se ha previsto en una segunda fase la adquisición de un
túnel de radioscopia para la caseta de seguridad, que asegure la detección automática de explosivos.
Un total de 15 cámaras NetBotz aseguran la vigilancia de estas zonas comunes. Estas cámaras están ligadas al
sistema CCTV cuyo control es ejercido por el vigilante de seguridad definido en el tercer anillo.
Esta zona cuenta igualmente con una caja fuerte ignífuga e hidrófuga, empotrada en pared de la caseta de
seguridad. Se trata de una ubicación temporal para el almacenamiento de llaves, documentos Confidencial 2 y
cintas de respaldo, y las memorias USB que contendrán las contraseñas de acceso a todas las plataformas para
casos de emergencia.
Finalmente, una destructora de papel asegura la eliminación de documentos confidenciales que no sean necesarios.
Gerencia General
3.3. Tercer anillo

El tercer anillo de seguridad alberga las salas de cómputo, y está caracterizado por la importancia crítica de los
procesos, información o bienes que custodia. Todas las puertas tienen bisagras que soporten una fuerza de empuje
de no menos de 1000 kilos, pero que en caso de ser necesario puedan ser desmontables para permitir el paso de
equipos desde o hacia las suites. Tienen mirillas de 180° de visión desde el interior.
Los accesos están restringidos sólo a las personas que necesitan entrar de manera temporal (mantenimiento,
limpieza,..). Esta gestión de accesos se lleva a cabo mediante lectores biométricos personalizados y una aplicación
de control de personas (P2000LE de Johnson Controls) operada por el Responsable de salas TI.
La densidad de cámaras en las salas de cómputo es mayor que en el resto del IDC; en una primera etapa se
instalarán 15 cámaras Axis (en las salas de hosting y comunicaciones). Un guardia de seguridad gestiona el
software del sistema CCTV (DVN5000X de Johnson Controls) que tiene una capacidad para almacenar hasta 30
días de grabación . El guardia de seguridad y el responsable de salas TI comparten espacio en la zona común de
las salas TI.
La sala de hosting contará con una mini-sala dedicada al almacenamiento de cintas, dentro del cual se ubicará un
armario ignífugo de doble llave donde se guardarán físicamente dichas cintas. Esta sala contará también con un
desmagnetizador que asegurará el borrado total de la información contenida en las cintas que a no son usadas.
Para garantizar la disponibilidad del IDC en más del 99% del tiempo, se han instalado los siguientes elementos
electromecánicos:
• Sistema de detección de incendios (IFC-320) que cuenta con 24 detectores, y un sistema de extinción
(Stat-X) que cuenta con 4 estaciones
• Grupos electrógenos redundados (Caterpillar C15 ATAAC) que garantizan la continuidad de suministro
eléctrico en caso de fallo del servicio contratado a compañía. El IDC cuenta además con dos depósitos de
Gasoil que son necesarios para permitir el funcionamiento de los grupos electrógenos.
• Baterías UPS de 225KVA/ 202.5 kW que darán alimentación a los equipos durante 15 min (2 Bancos
PW9395-225) en caso de caída total del suministro eléctrico y de los grupos electrógenos. Estas baterías
cuentan con sistema de monitoreo.
• El sistema de climatización está asegurado gracias a dos chillers con una capacidad de 79.7 toneladas de
refrigeración cada uno, cumpliendo con la redundancia N+1, y trabajando con dos circuitos de refrigeración
independiente y refrigerante R134A. Estos chillers mantienen la temperatura de las salas controlada en los
márgenes definidos en las especificaciones de los fabricantes de equipos.
• Gabinetes protegidos (marca APC) y con posibilidad de instalar cámara s
El IDC cuenta además con un sistema de monitorización de todas las infraestructuras que se han visto (BMS de
Johnson Controls) cuyo módulo central es un controlador supervisor MS-NAE55 que centraliza la información que
viene de los siguientes sensores:
• detectores para sistema de extinción (FX16)
• detectores para sistema de agua helada (FX16)
• control de iluminación (Z-MAX )
• detectores para tableros eléctricos y generadores (FS-B3510)
• detectores para UPS (FS-B3510)
• detectores para chillers (FS-B3510)
El sistema de control de acceso (PL2000E), el sistema de detección de incendios (IFC-320) y el sistema CCTV
(DVN5000X) también pueden integrarse con el controlador supervisor MS-NAE55. La monitorización de alarmas se
hace a través de un servidor de aplicaciones al que está conectado. Este servidor de aplicaciones puede ser
integrado en el Active Directory del IDC, asegurando así el cumpliendo de la centralización de identidades en el IDC.
Es el guardia de seguridad ubicado en el puesto de monitoreo quien gestionará este servidor de aplicaciones.
El sistema de gestión BMS sigue las pautas de securización definidas en el apartado 4.1.4. Mecanismos de
seguridad en aplicaciones.
Gerencia General
4. Topología de seguridad lógica

La configuración del modelo de seguridad lógica viene implícita dentro de la arquitectura de redes y sistemas puesta en
marcha por ITS/Oracle. La arquitectura está basada en las recomendaciones de diseño de Cisco para la capa 2, y el
modelo SDN (Service Delivery Network) para la capa 3.
4.1. La seguridad en el modelo SDN de Sun

SDN es la metodología usada por Sun Microsystems (ahora dentro de la estructura de Oracle) para el diseño
dinámico y optimizado de arquitecturas de redes. Los objetivos del diseño son:
• alcanzar los niveles exigidos de disponibilidad de productos y servicios (más del 99%)
• atender el número de clientes previstos a corto y largo plazo
• cumplir con los niveles de latencia y de rendimiento acordados con los clientes
• permitir el escalado de la red en el futuro
• gestionar en remoto y fácilmente todos los elementos
• asegurar los siguientes requerimientos mínimos de seguridad:
• las redes están separadas en función de los servicios que son necesarios
• todos los accesos a máquinas se hacen vía autenticación securizada en repositorio de
identidades
• los elementos están monitorizados en remoto
• los logs de máquinas y aplicaciones se pueden centralizar
4.1.1. Segmentación de red

Teniendo en cuenta estos objetivos y los servicios que son necesarios en el IDC, se ha segmentado la red de
manera racional en 4 grandes grupos (clientes, administración, desarrollo, servicios TI del IDC), dentro de los
cuales se han definido redes (de 32, 64, 128 o 256 direcciones) según el tipo de servicio necesitado:
• para el grupo ”Clientes”: redes CLIENTE01 en adelante, HOSTING_VIRT y STORAGE_CLIENTES.
• para el grupo ”Gestión”: red GESTION_RED, red CONSOLA, red RUNRAY, red PROVISION, red
SGSR, etc.
• para el grupo ”Desarrollo”: red DEV_FRON, red DEV_BACK, etc.
• para el grupo ”Servicios TI”: red BUZON, red LDAP, red DNS_GES, red APPS_GES, red WEB_GES,
etc.
El diagrama siguiente ilustra la topología de red y la segmentación a la que se hace referencia 1:
1 Esta topología es provisional y puede sufrir cambios en los meses a venir
Gerencia General
Existen las siguientes relaciones entre los grupos:

• Desarrollo y Servicios TI cuentan con 2 redes por máquina: una de servicio y una de gestión, con el
mismo nombre con la extensión _GES.
• Gestión, Desarrollo y Servicios TI comparten la red STORAGE, que es una red interna destinada a
proporcionar el servicio de almacenamiento y backup a todos los servidores a través de los
interfaces de gestión.
Las redes que necesitan comunicarse lo hacen a través de las reglas definidas en los cortafuegos, lo que
garantiza la separación de VLANs en función de servicios y tipos de usuarios.
Esta separación lógica está reflejada también en los números de VLAN:

• Red 100: STORAGE
• Redes 101-199: Redes de servicio de los grupos “Servicios TI” y “Desarrollo”.
• Redes 201-299: Redes de gestión de los grupos “Servicios TI” y “Desarrollo”, con una relación de
+100 respecto a la red de servicio correspondiente, y todas las redes del grupo “Gestión”.
• Redes 300 en adelante: Redes para el grupo “Clientes”
4.1.2. Redundancia de equipos

Todos los servicios de la red “Servicios TI” están duplicados para garantizar alta disponibilidad de módulos, y
su carga de trabajo está proporcionalmente dividida gracias a los balanceadores usados.
4.1.3. Mecanismos de seguridad en sistemas y elementos de red

Todos los servidores y elementos de red del iDC que se integren en la red se securizan previamente
siguiendo las guías de bastionado definidas en la consultoría de seguridad:
• GU_BastionadoCisco-ICE_IDC
• GU_BastionadoLinuxRedHar-ICE_IDC
Gerencia General

• GU_BastionadoWindows2008-ICE_IDC
• GU_BastionadoSolaris-ICE_IDC
4.1.4. Mecanismos de seguridad en aplicaciones

Las aplicaciones del iDC se securizan a través del cumplimiento de las siguientes pautas:
• se comprueba que el SO de la máquina en la que ha sido instalada ha seguido el proceso de
bastionado que le corresponde (GU_BastionadoRedHat, GU_BastionadoSolaris10,
GU_BastionadoWindows2008),
• se asegura que el SO correspondiente tiene aplicado el último parcheado de seguridad
• se asegurar que las aplicaciones están en la última versión definida por el fabricante
• se asegura que no hay usuarios locales (salvo los de seguridad y salvo que la aplicación así lo
requiera), y que están registrados en Active Directory y LDAP.
• se asegura que las claves de usuario sigue la Instrucción de Trabajo de Gestión de Claves
(IT05_GestionClavesusuarios)
• se asegura que las plataformas están en el entorno seguro de red, concretamente que se
encuentran detrás de cortafuegos e IDS
• se asegura la capacidad de la plataforma de seguridad para acceder correctamente a todas las
máquinas incluidas en el Paso a Explotación. En caso de que no existiera este acceso, el Gestor de
Seguridad procederá a la solicitud de las rutas correspondientes a través de los cortafuegos,
mediante Ticket interno al grupo responsable de las comunicaciones y accesos.
4.1.5. Gestión de usuarios centralizada

Siempre que el fabricante lo permite, los equipos y aplicaciones se autentican en remoto en un repositorio
centralizado: Active Directory para los módulos de Microsoft, LDAP para los elementos de Oracle. Los
equipos de red de Cisco se autentican a través de un servidor TACACS+. De esta manera, la gestión de
usuarios se hace en repositorios de identidad únicos, no es necesario llevar un control de usuarios a nivel de
cada una de las máquinas.
Repositorio de
Sistemas y usuarios
aplicaciones en Active
entorno Directory
Windows
Linux
Reposito
rio de
usuarios
Solaris 10 LDAP
TACACS+
Equipos de
Red
Gerencia General

Active Directory y LDAP siguen las pautas de securización definidas en el apartado 4.1.4. Mecanismos de
4.1.6. El sistema de gestión

Todas las aplicaciones y sistemas que sustentan los servicios están monitorizadas de manera centralizada a
través del software BMC Performance Manager. Esta aplicación recibe información de los sistemas y
aplicaciones a través del protocolo SNMP v3, en el que se ha quitado las comunidades por defecto.
Además, los logs de equipos pueden enviarse a un servidor centralizado. De esta manera se puede
establecer un plan de monitoreo que permite el análisis de los diferentes eventos suscitados en el sistema,
para detectar tempranamente cualquier evento.
El sistema de gestión BMC sigue las pautas de securización definidas en el apartado 4.1.4. Mecanismos de
4.2. La seguridad en el modelo jerárquico de 3 capas de Cisco

Para facilitar la escalabilidad, el rendimiento y la seguridad de la red, Cisco recomienda crear un modelo de 3 capas,
donde cada capa proporciona funciones específicas: Acceso, Distribución y Core.
• La capa de Acceso o desktop layer controla a los usuarios y el acceso de grupos de trabajo (workgroup
access) o los recursos de internetwork, haciendo de interfaz con los dispositivos finales.
• La capa de Distribución, o workgroup layer, es el medio de comunicación entre la capa de acceso y el
Core. Las funciones de esta capa son proveer ruteo, filtrado, acceso a la red WAN y determinar que
paquetes deben llegar al Core. En esta capa se implementan las políticas de red, incluyendo:
• enrutamiento
• access-list
• filtrado de paquetes
• cola de espera
• seguridad y políticas de red (traducciones NAT y firewalls)
• redistribución entre protocolos de ruteo (incluyendo rutas estáticas)
• ruteo entre VLANs
• definición de dominios de broadcast y multicast
• otras funciones de grupo de trabajo
• La capa de Core, o BackBone, es literalmente el núcleo de la red, su única función es switchear tráfico tan
rápido como sea posible y se encarga de llevar grandes cantidades de tráfico de manera confiable y veloz,
por lo que la latencia y la velocidad son factores importantes en esta capa.
La seguridad se garantiza por medio de los siguientes mecanismos:

• asegurando la redundancia de todos los elementos y conexiones entre dispositivos
• implementando en la capa de Core las tarjetas de bloqueo de tráfico malicioso (3xAnomaly Guard Module y
3xAnomaly Detector Module). Estos dispositivos brindan protección contra ataques de tipo DDoS como
primera barrera defensiva de cara a internet
• implementando en la capa de Distribución los módulos de seguridad relacionados con filtrado de tráfico y
seguridad extremo a extremo. En este caso se han usado:
• Firewalls para filtrado de tráfico no deseado (2xASA 5580)
• Módulos IPS (2xIPS 4270) para auditar y monitorear la red en busca de actividades no
autorizadas, inapropiadas o extrañas. Los IPS protegen equipos y la red de ataques externos de forma
proactiva, estableciendo políticas de seguridad. Se conectarán a equipos de red que centralicen el tráfico
que se quiere monitorizar (los Catalyst 6509), se realizará una configuración potente que tenga en cuenta
la característica del entorno que se desea proteger y se activará los modos de bloqueo de forma
progresiva en el tiempo.
• Tarjetas VPN (2xCisco IPSec VPN SPA Bundle2) para garantizar que los accesos
remotos por personal ubicado fuera del IDC se hacen de manera segura.
Gerencia General
5. Plan de implementación
El Manual de Seguridad (MN_Seguridad) define el establecimiento y la implementación del Sistema de Gestión de
Seguridad, que incluye el modelo de seguridad definido en este documento.
El Plan de Gestión de Riesgos (Plan_GestionRiesgos) es un documento que incluye las acciones apropiadas de gestión,
recursos, responsabilidades y prioridades para la gestión de los riesgos identificados (AN_GestionRiesgos), y sobre los que
se ha decidido que hay que realizar alguna acción. Para la elaboración de estos planes de tratamiento el IDC ha seguido
las acciones establecidas en el Procedimiento de Análisis y Gestión de Riesgos SGSI de ICE
(PR_AnálisisyGestiónRiesgos).
La efectividad de la implantación de las acciones seleccionadas se realiza a través del establecimiento y análisis de
indicadores y su seguimiento definidos en el procedimiento de medición, análisis y mejora
(PR_MedicionAnalisisMejoraSGSI), en el apartado “Medir la eficacia del Sistema de Gestión”.

IN TopologiaSeguridad-ICE iDC-1.2

Cargado por

Copyright:

Formatos disponibles

IN TopologiaSeguridad-ICE iDC-1.2

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

IN TopologiaSeguridad-ICE iDC-1.2

Cargado por

Copyright:

Formatos disponibles

INSTITUTO COSTARRICENSE DE ELECTRICIDAD

GERENCIA GENERAL Versión 1.2

Versión Numero: 1.2

Autor: Consorcio ITSInfocom

Adquisición de Hardware y Software para iDC Página 2 de 13

Topología de Seguridad del IDC del ICE

Adquisición de Hardware y Software para iDC Página 3 de 13

Topología de Seguridad del IDC del ICE

0. Información del Documento

Las siguientes personas colaboraron en la elaboración del documento:

Colaborador Rol o Área Funcional Firma Fecha

Pablo BALLARIN USIETO Consultor ITS 2010-12-21

Información del documento:

Fecha de creación:* 2010-12-21

UBICACIÓN ELECTRÓNICA DEL DOCUMENTO

Historia de revisión del documento:

Adquisición de Hardware y Software para iDC Página 4 de 13

Topología de Seguridad del IDC del ICE

Adquisición de Hardware y Software para iDC Página 5 de 13

Topología de Seguridad del IDC del ICE

1.1. Objetivo del Informe

Adquisición de Hardware y Software para iDC Página 6 de 13

Topología de Seguridad del IDC del ICE

Adquisición de Hardware y Software para iDC Página 7 de 13

Topología de Seguridad del IDC del ICE

3. Topología de seguridad perimetral

3.1. Primer anillo

3.2. Segundo anillo

Adquisición de Hardware y Software para iDC Página 8 de 13

Topología de Seguridad del IDC del ICE

3.3. Tercer anillo

Adquisición de Hardware y Software para iDC Página 9 de 13

Topología de Seguridad del IDC del ICE

4. Topología de seguridad lógica

4.1. La seguridad en el modelo SDN de Sun

4.1.1. Segmentación de red

El diagrama siguiente ilustra la topología de red y la segmentación a la que se hace referencia 1:

1 Esta topología es provisional y puede sufrir cambios en los meses a venir

Adquisición de Hardware y Software para iDC Página 10 de 13

Topología de Seguridad del IDC del ICE

Existen las siguientes relaciones entre los grupos:

Esta separación lógica está reflejada también en los números de VLAN:

4.1.2. Redundancia de equipos

4.1.3. Mecanismos de seguridad en sistemas y elementos de red

Adquisición de Hardware y Software para iDC Página 11 de 13

Topología de Seguridad del IDC del ICE

4.1.4. Mecanismos de seguridad en aplicaciones

4.1.5. Gestión de usuarios centralizada

Adquisición de Hardware y Software para iDC Página 12 de 13

Topología de Seguridad del IDC del ICE

4.1.6. El sistema de gestión

4.2. La seguridad en el modelo jerárquico de 3 capas de Cisco

La seguridad se garantiza por medio de los siguientes mecanismos:

Adquisición de Hardware y Software para iDC Página 13 de 13

Topología de Seguridad del IDC del ICE

También podría gustarte