CONFIGURACIÓN DE SEGURIDAD

ACTUALIZACIONES AUTOMÁTICAS PARA EL SISTEMA OPERATIVO Y APLICACIONES

ACTUALIZACION AUTOMATICA

La Actualización automática de Windows es una herramienta que permite mantener al sistema operativo Windows actualizado de forma automática.

Es importante tenerla activa, dado que permite que el sistema operativo Windows y algunos de los programas instalados, estén actualizados, especialmente por cuestiones de seguridad.

Para ayudar a proteger su equipo de las últimas amenazas de Internet, es importante instalar las nuevas actualizaciones de seguridad desde el momento en que se encuentran disponibles. La manera más fácil de hacerlo es usar las actualizaciones automáticas. Elija laconfiguración recomendada para que el sistema operativo descargue e instalelas actualizaciones según la programación que establezca. Las actualizaciones automáticas están disponibles en la mayoría de los sistemas operativos de Windows.

ADMINISTRACION DE ACTUALIZACIONES

La característica de administración de actualizaciones analiza su red automáticamente o bajo demanda. Usted recibe toda la funcionalidad y herramientas que necesita para instalar y administrar actualizaciones de seguridad y no seguridad.

Microsoft está mejorando todas las áreas del proceso de administración de actualizaciones para ofrecer una experiencia sin problemas y de extremo a extremo que elimine, en la medida de lo posible, todos los problemas que surgen en la administración e implementación de las actualizaciones.

SERVIDORES CENTRALES DE ACTUALIZACIONES

Los grupos de servidores de actualizaciones se usan para especificar los servidores que están disponibles para clientes que no cumplen con la directiva Protección de acceso a redes (NAP) y tienen el propósito de corregir su estado de mantenimiento para que éste cumpla con los requisitos de mantenimiento. Los tipos de servidores de actualizaciones requeridos dependen de sus requisitos de mantenimiento y métodos de acceso a redes.

Los servidores de actualizaciones no solo proporcionan actualizaciones para los equipos no compatibles. También pueden proporcionar servicios de redes que los equipos no compatibles necesitan para poder actualizar el mantenimiento o realizar un conjunto de tareas limitadas mientras permanecen en estado restringido. Por ejemplo, un servidor de actualizaciones puede proporcionar servicios DHCP a los equipos que han sido colocados en una VLAN no compatible. Además, es posible que los servidores de actualizaciones hospeden sitios web que proporcionen instrucciones que los usuarios pueden seguir para hacer que sus equipos sean compatibles.

Los servidores de actualizaciones pueden ser accesibles para los equipos compatibles o no compatibles o solo para los equipos no compatibles. Los métodos usados para proporcionar acceso a los servidores de actualizaciones dependen del método de cumplimiento NAP.

MANEJO DE CUENTAS

En este módulo el sistema le permite crear las cuentas contables con las que su sistema de contabilidad efectuará los procesos.

El sistema dispone de una opción en el momento de la creación de la contabilidad que vamos a manejar, para que podamos incluir el catálogo de cuentas, sea para Corredores de Seguros o para Sociedades De Corretaje De Seguros, totalmente adaptados a las metodologías impuestas por la Superintendencia De Seguros donde lo único que nos falta es incluir las Cuentas Auxiliares propias de la Contabilidad General que vayamos a generar.

El sistema posee 6 niveles de cuentas de la siguiente forma:

Desde el primer nivel hasta el cuarto el sistema solo le permite crear Cuentas Principales (Cuentas que no son de movimiento), el nivel 5 puede ser una Cuenta Principal o Auxiliar, mientras que el nivel 6 solo puede ser utilizado para Cuentas Auxiliares (Cuentas que son de movimiento).

Solo se podrán asentar comprobantes por intermedio de sus cuentas auxiliares.

El sistema tiene los debidos controles para que Ud. no pueda efectuar asientos por intermedio de Cuentas Principales.

MANEJO DE BITÁCORAS

BITAC es el software especial para el manejo de bitácoras.
Una aplicación específica: los docentes de una institución académica pueden digitar diariamente los apuntes de lo que dictan en clase y luego pueden ser consultados por los coordinadores y vía WEB por los estudiantes. Esto reemplaza el tradicional sistema de llevar en una planilla manual estos registros.
Es un sistema robusto porque sus bases de datos están implementadas en postgreSQL bajo Linux, pero al mismo tiempo es muy sencillo y fácil de utilizar porque la aplicación funciona bajo Windows.

MANEJO DE SOFTWARE

El manejo de los software en el equipo es de importancia por su capacidad de proteger al equipo de cómputo de amenazas en la red 

FIREWALL LOCAL

Un firewall (llamado también "corta-fuego"), es un sistema que permite proteger a una computadora o una red de computadoras de las intrusiones que provienen de una tercera red (expresamente de Internet). El firewall es un sistema que permite filtrar los paquetes de datos que andan por la red. Se trata de un "puente angosto" que filtra, al menos, el tráfico entre la red interna y externa
Un firewall puede ser un programa (software) o un equipo (hardware) que actúa como intermediario entre la red local (o la computadora local) y una o varias redes externas.



Establece metricas y mecanismos para la evaluacion de los controles implementados.

Define indicadores para evaluar la eficiencia de los controles implementados.

Identifica y analiza niveles de riesgo en la organización.

Analiza configuraciones de seguridad en grupos y cuentas de usuario en el sistema operativo.

Con el nombre software malicioso agrupamos todos los tipos de programas que han sido desarrollados para entrar en ordenadores sin permiso de su propietario, y producir efectos no deseados. Estos efectos se producen algunas veces sin que nos demos cuenta en el acto. Esta expresión es un término general muy utilizado por profesionales de la computación para definir una variedad de software o programas de códigos hostiles e intrusivos. Muchos usuarios de computadores no están aún familiarizados con este término y otros incluso nunca lo han utilizado. Sin embargo la expresión "virus informático" es más utilizada en el lenguaje cotidiano y a menudo en los medios de comunicación para describir todos los tipos de malware.

Existen muchísimos tipos de software malicioso, aunque algunos de los más comunes son los virus informáticos, los gusanos, los troyanos, los programas de spyware/adware o incluso ciertos bots. 
Dos tipos comunes de software malicioso es los virus y los gusanos informáticos, este tipo de programas tienen en común la capacidad para auto replicarse, es decir, pueden contaminar con copias de sí mismos y en algunas ocasiones mutando, la diferencia entre un gusano y un virus informático radica en la forma de propagación, un gusano opera a través de una red, mientras que un virus lo hace a través de ficheros a los que se añade.

Administración de cuentas de usuarios y acceso a recursos.
La administración de cuentas de usuario y grupos es una parte esencial de la administración de sistemas dentro de una organización. Pero para hacer esto efectivamente, un buen administrador de sistemas primero debe entender lo que son las cuentas de usuario y los grupos y cómo funcionan.
La razón principal para las cuentas de usuario es verificar la identidad de cada individuo utilizando un computador. Una razón secundaria (pero aún importante) es la de permitir la utilización personalizada de recursos y privilegios de acceso.

Los recursos incluyen archivos, directorios y dispositivos. El control de acceso a estos dispositivos forma una gran parte de la rutina diaria de un administrador de sistemas; a menudo el acceso a un recurso es controlado por grupos. Los grupos son construcciones lógicas que se pueden utilizar para enlazar a usuarios para un propósito común. Por ejemplo, si una organización tiene varios administradores de sistemas, todos ellos se pueden colocar en un grupo administrador de sistema. Luego se le pueden dar permisos al grupo para acceder a recursos claves del sistema. De esta forma, los grupos pueden ser una herramienta poderosa para la administración de recursos y acceso.

Las secciones siguientes discuten las cuentas de usuario y grupos en más detalles.
Administración de cuentas de usuarios.
Como se indicó anteriormente, las cuentas de usuarios es la forma a través de la cual se identifica y autentifica a un individuo con el sistema. Las cuentas de usuarios tienen diferentes componentes. Primero, esta el nombre de usuario. Luego, está la contraseña, seguida de la información de control de acceso.

Las secciones siguientes exploran cada uno de estos componentes en más detalles.

El nombre de usuario
Desde el punto de vista del sistema, el nombre de usuario es la respuesta a la pregunta "quién es usted?". Como tal, los nombres de usuarios tienen un requerimiento principal — deben ser únicos. En otras palabras, cada usuario debe tener un nombre de usuario que sea diferente a todos los otros usuarios en ese sistema.
Debido a este requerimiento, es vital determinar — por adelantado — cómo se crean los nombres de usuario. De lo contrario, puede encontrarse en la posición de ser forzado a reaccionar cada vez que un nuevo usuario solicita una cuenta.
Lo que necesita es una convención de nombres para sus cuentas de usuarios.
Convenio de nombres
Mediante la creación de un convenio de nombres para los usuarios, puede ahorrarse varios problemas. En vez de inventar nombres cada vez (y darse cuenta de que cada vez se hace más difícil crear un nombre razonable), haga un poco de trabajo de antemano para preparar una convención a utilizar para todas las cuentas siguientes. Su convenio de nombres puede ser muy simple, o solamente su descripción puede tomar muchas páginas.

Define el modo en que los indicadores serán medidos.

La naturaleza exacta de su convenio de nombres debe tomar varios factores en cuenta:

El tamaño de su organización

La estructura de su organización

La naturaleza de su organización
El tamaño de su organización importa, pues dicta cuántos usuarios puede soportar su convención para nombres. Por ejemplo, una compañía muy pequeña quizás pueda permitir que todo el mundo utilice su primer nombre. Para una organización mucho más grande, este convenio no funciona.

La estructura de la organización también puede tener influencia sobre el convenio de nombres más apropiado. Para organizaciones con una estructura bien definida puede ser adecuado incluir elementos de esa estructura en la convención de nombres. Por ejemplo, puede incluir los códigos de los departamentos como parte del nombre de usuario.

La naturaleza completa de su organización también puede significar que algunas convenciones son más apropiadas que otras. Una organización que maneja datos confidenciales puede decidirse por una convenición que no indica ningún tipo de información personal que pueda vincular al individuo con su nombre. En una organización de este tipo, el nombre de usuario de Maggie McOmie podría ser LUH3417.



He aquí algunas convenciones de nombres que otras organizaciones han utilizado:

Primer nombre (jorge, carlos, pedro, etc.)

Apellido (perez, obregon, ramirez, etc)

Primera inicial, seguido del apellido (jperez, cobregon, pramirez, etc.)

Apellido, seguido del código del departamento (perez029, obregon454, ramirez191, etc.).

Contraseñas
Si el nombre de usuario responde a la pregunta "¿Quién es usted?", la contraseña es la respuesta a la pregunta que inevitablemente sigue:

"Demuéstralo!"
En términos más prácticos, una contraseña proporciona una forma de probar la autenticidad de la persona que dice ser el usuario con ese nombre de usuario. La efectividad de un esquema basado en contraseñas recae en gran parte sobre varios aspectos de la contraseña:

La confidencialidad de la contraseña

La resistencia de adivinar la contraseña

La resistencia de la contraseña ante un ataque de fuerza bruta

Las contraseñas que efectivamente toman en cuenta estos problemas se conocen como contraseñas robustas, mientras que aquellas que no, se les llama débiles. Es importante para la seguridad de la organización crear contraseñas robustas, mientras más robustas sean las contraseñas, hay menos chances de que estas sean descubiertas o que se adivinen. Hay dos opciones disponibles para reforzar el uso de contraseñas robustas:

El administrador del sistema puede crear contraseñas para todos los usuarios.

El administrador del sistema puede dejar que los usuarios creen sus propias contraseñas, a la vez que se verifica que las contraseñas sean lo suficientemente robustas.

Al crear contraseñas para todos los usuarios asegura que estas sean robustas, pero se vuelve una tarea pesada a medida que crece la organización. También incrementa el riesgo de que los usuarios escriban sus contraseñas.

Por estas razones, la mayoría de los administradores de sistemas prefieren dejar que los usuarios mismos creen sus contraseñas. Sin embargo, un buen administrador de sistemas tomará los pasos adecuados para verificar que las contraseñas sean robustas.

Para leer sobre las pautas para la creación de contraseñas robustas, vea el capítulo llamado Seguridad de las Estaciones de trabajo en el Manual de seguridad de Red Hat Enterprise Linux.
La necesidad de mantener secretas las contraseñas debería ser una parte arraigada en la mente de un administrador de sistemas. Sin embargo, este punto se pierde con frecuencia en muchos usuarios. De hecho, muchos usuarios ni siquiera entienden la diferencia entre nombres de usuarios y contraseñas. Dado este hecho, es de vital importancia proporcionar cierta cantidad de educación para los usuarios, para que así estos puedan entender que sus contraseñas se deberían mantener tan secretas como su sueldo.

Las contraseñas deberían ser tan difíciles de adivinar como sea posible. Una contraseña robusta es aquella que un atacante no podrá adivinar, aún si el atacante conoce bien al usuario.
Un ataque de fuerza bruta sobre una contraseña implica el intento metódico (usualmente a través de un programa conocido como password-cracker) de cada combinación de caracteres posible con la esperanza de que se encontrará la contraseña correcta eventualmente. Una contraseña robusta se debería construir de manera tal que el número de contraseñas potenciales a probar sea muy grande, forzando al atacante a tomarse un largo tiempo buscando la contraseña.
Las contraseñas débiles y robustas se exploran con más detalles en las secciones siguientes.Cuestionario: 
Para usuarios y el uso de la seguridad de la informática.
Hoy en día la palabra "encuesta" se usa más frecuentemente para describir un método de obtener información de una muestra de individuos. Esta "muestra" es usualmente sólo una fracción de la población bajo estudio.
La encuesta es necesaria para saber qué papel juega cada uno de los usuarios en los sistemas de información de la organización, cuál es su perfil para dar acceso a cada uno. 
Según su puesto en la organización y a su perfil, deberán darse los privilegios y accesos, por eso es importante entrevistarlos mediante un cuestionario. 
Es importante guardar la información porque es algo muy valioso para determinar el poder de un grupo humano sobre otro. Esta importancia abarca a todo tipo de información generada o procesada a través de una computadora, pudiendo ser un bien más valioso que el costo de los mismos equipos donde se trabaja.

Entrevistas: 
Para usuarios y el uso de la seguridad de la informática.
Las entrevistas se utilizan para recabar información en forma verbal, a través de preguntas que propone el analista. Quienes responden pueden ser gerentes o empleados, los cuales son usuarios actuales del sistema de información existente, usuarios potenciales del sistema informático propuesto o aquellos que proporcionarán datos o serán afectados por la aplicación propuesta. El analista (Informático) puede entrevistar al personal en forma individual o en grupos algunos analistas (Informático) prefieren este método. Sin embargo, las entrevistas no siempre son la mejor fuente de datos de aplicación.
Preparación de la Entrevista
1. Determinar la posición que ocupa de la organización el futuro entrevistado, sus responsabilidades básicas, actividades, etc. (Investigación).
2. Preparar las preguntas que van a plantearse, y los documentos necesarios (Organización).
3. Fijar un límite de tiempo y preparar la agenda para la entrevista. (Sicología).
4. Elegir un lugar donde se puede conducir la entrevista con la mayor comodidad (Sicología).
5. Hacer la cita con la debida anticipación (Planeación).
Conducción de la Entrevista
1. Explicar con toda amplitud el propósito y alcance del estudio (Honestidad).
2. Explicar la función propietaria como analista y la función que se espera conferir al entrevistado. (Imparcialidad).
3. Hacer preguntas específicas para obtener respuestas cuantitativas (Hechos).
4. Evitar las preguntas que exijan opiniones interesadas, subjetividad y actitudes similares (habilidad).
5. Evitar el cuchicheo y las frases carentes de sentido (Claridad).
6. Ser cortés y comedio, absteniéndose de emitir juicios de valores. (Objetividad).
7. Conservar el control de la entrevista, evitando las divagaciones y los comentarios al margen de la cuestión.
8. Escuchar atentamente lo que se dice, guardándose de anticiparse a las respuestas (Comunicación).

Realizar entrevistas toma tiempo; por lo tanto no es posible utilizar este método para recopilar toda la información que se necesite en la investigación de seguridad; incluso el analista debe verificar los datos recopilados utilizando unos de los otros métodos de recabación de datos.
La entrevista se aplica en todos los niveles gerenciales y de empleados y dependa de quien pueda proporcionar la mayor parte de la información informática útil para el estudio los analistas de información (jefe de informática).

Ficha técnica:
Para usuarios y el uso de la seguridad de la informática.
Una ficha técnica es un documento en forma de sumario que contiene la descripción de las características de un objeto, material, proceso o programa de manera detallada para los sistemas informáticos y del usuario. Los contenidos varían dependiendo del producto, servicio o entidad descrita, pero en general suele contener datos como el nombre, características físicas, el modo de uso o elaboración, propiedades distintivas y especificaciones técnicas.
La correcta redacción de la ficha técnica es importante para garantizar la satisfacción del consumidor o usuario, especialmente en los casos donde la incorrecta utilización de un producto puede resultar en daños personales (daño de la información) o materiales(hardware) o responsabilidades civiles o penales. 

También sirve para ver las condiciones, tanto de la información como del uso físico que se le da al hardware, y de esta manera quede asentado en la ficha, para protección del usuario, de la información y del encargado del equipo de computo (informático). 

¿Qué es una métrica?

Es una metodología de planificación, desarrollo y mantenimiento de sistemas de información, promovida por el Ministerio de Hacienda y Administraciones Públicas (antiguo Ministerio de Administraciones Públicas ) del Gobierno de España para la sistematización de actividades del ciclo de vida de los proyectos software en el ámbito de las administraciones públicas. Esta metodología propia está basada en el modelo de procesos del ciclo de vida de desarrollo ISO/IEC 12207 (Information Technology - Software Life Cycle Processes) así como en la norma ISO/IEC 15504 SPICE (Software Process Improvement And Assurance Standards Capability Determination)