Protecciรณn de los activos de informaciรณn Diplomado Gestiรณn del Riesgo de la Informaciรณn Mรณdulo 4
Agenda • 4.4.1 Perímetro de Seguridad • 4.4.2 Dispositivos y prácticas de protección ambiental • 4.4.3 Control de Acceso • 4.4.4 Monitoreo de actividades (CCTV)
Agenda • 4.4.1 Perímetro de Seguridad • 4.4.2 Dispositivos y prácticas de protección ambiental • 4.4.3 Control de Acceso • 4.4.4 Monitoreo de actividades (CCTV)
Seguridad Física • Se ocupa de las amenazas, vulnerabilidades y contra medidas que pueden ser utilizadas para proteger físicamente los activos e información de la empresa • El diseño de la seguridad debe comenzar durante la fase de diseño, no en el momento de la implementación • La seguridad física de los activos y los empleados deben ser considerados en el diseño de una nueva instalación • Las instalaciones bien diseñadas son cómodas y seguras
Amenazas a la Seguridad Física • Interrupción de servicios • Robo • Daño físico • Acceso no autorizado • Perdida de la integridad de los sistemas
Categorías de las Amenazas • Amenazas del medio ambiente (ej. inundaciones, fuegos) • Amenazas del suministro (ej. cortes de energía eléctrica, interrupciones de las comunicaciones) • Amenazas hechas por el hombre (ej. explosiones, empleados descontentos, fraudes) • Amenazas con motivos políticos (ej. huelgas, disturbios, desobediencia civil, terrorismo)
Consideración Primordial de la Seguridad Física • La consideración primordial en la seguridad física es que nada debe impedir "los objetivos de salva guardar la vida" • Ej: No cerrar la única puerta de incendios por fuera
• “Safety:” Se refiere a la protección de la vida y los bienes contra incendios, desastres naturales y accidentes devastadores • “Security:” Se refiere al vandalismo, robo y los ataques de los individuos a los recursos de la empresa.
Planeación de la Seguridad Física • Desde el punto de vista de la seguridad de la información, la seguridad física se basa en un modelo de defensa por capas • Las capas son aplicadas a partir del perímetro y se avanza hacia los activos • Las capas son: Disuasión, Retraso, Detección, Evaluación, Respuesta
Planeación de la Seguridad Física Capas del modelo
• Un programa de seguridad física debe abordar: • La protección de la interrupción y la delincuencia a través de la disuasión (cercas, guardias de seguridad, señales de advertencia, etc.) • Reducción de los daños a través del uso de los mecanismos de retraso (por ejemplo, las cerraduras, el personal de seguridad, etc.) • La detección del delito o la interrupción (por ejemplo, detectores de humo, detectores de movimiento, CCTV, etc.) • La evaluación del Incidente a través de la respuesta a incidentes y la determinación de los niveles de daño. • Procedimientos de respuesta (mecanismos de extinción de incendios, procesos de respuesta a emergencias, etc.)
Planeación de la Seguridad Física
Prevención del Crimen Mediante Diseño Ambiental • Crime Prevention Through Environmental Design (CPTED) • Es una disciplina que describe cómo el diseño adecuado de un entorno físico puede reducir el crimen • Sus estrategias se basan en la capacidad de influir en las decisiones del delincuente, que preceden a los actos delictivos • Conceptos desarrollados en la década de 1960 • Piense: Ingeniería social
Planeación de la Seguridad Física Estrategias de CPTED
• CPTED tiene tres estrategias principales: a) Control de Acceso Natural b) Vigilancia Natural c) Refuerzo Territorial
Planeación de la Seguridad Física CPTED: Control de Acceso Natural
• La orientación de las personas que entran y salen de un espacio mediante la colocación de puertas, bardas, iluminación y jardinería • Estar familiarizado con: bolardos, el uso de las zonas de seguridad, barreras de acceso, el uso de controles de acceso naturales
Planeación de la Seguridad Física CPTED: Vigilancia Natural
• Es el uso y la colocación de características físicas del medio ambiente, pasillos de personal, y áreas de actividad de forma que se maximice la visibilidad. • El objetivo es hacer que los criminales se sienten incómodos y hacer que todos los demás se sientan seguros y cómodos, a través del uso de la observación.
Planeación de la Seguridad Física CPTED: Refuerzo Territorial
• Crea diseños físicos que destacan el área de influencia de la compañía para dar a sus legítimos dueños un sentido de propiedad. • Logrado mediante el uso de paredes, iluminación, jardinería, etc
Planeación de la Seguridad Física Selección del Sitio
• Visibilidad y ubicación (del terreno, los vecinos, la población de la zona, inmuebles cercanos) • Entorno y factores externos (tasa de delincuencia, disturbios, terrorismo, localidades de respuesta rápida) • Accesibilidad y transporte(acceso a vías rápidas, tráfico, proximidad de los servicios de transporte público) • Desastres naturales (inundaciones, tornados, terremotos) • Servicios (multiples opciones de proveedores de
Planeación de la Seguridad Física Otras consideraciones
• Otras consideraciones que debemos tomar en cuenta: • Materiales de construcción y diseño estructural de las instalaciones • Estar familiarizado con: cargas, materiales de armazón ligero, materiales no combustibles, material resistente al fuego, etc.
Sistemas de Soporte Interno Asuntos de energía eléctrica
• Un suministro continuo de energía eléctrica asegura la disponibilidad de recursos de la empresa • Los centros de datos deben estar en una fuente de alimentación diferente del resto del edificio • Fuentes de alimentación redundantes • Dos o más acometidas procedentes de dos o más subestaciones eléctricas
Planeación de la Seguridad Física Protección de energía • Sistemas UPS • Sistemas UPS en línea • Sistema UPS en modo de espera
• Acondicionadores de línea de energía • Fuentes de respaldo
Planeación de la Seguridad Física Protección de energía
• Otros términos de energía eléctrica debemos saber: a. Tierra b. Ruido c. Ruido transitorio d. Corriente de arranque e. Interferencia Electro Magnética f. Interferencia de Radio Frecuencia
Planeación de la Seguridad Física Tipos de fluctuaciones del voltaje • Exceso de Energía • Picos de corriente • Corrientes de arranque • Dilatación de voltaje (swell) • Sobre voltaje
• Perdida de Energía • Interrupciones • Depresión de voltaje (sags) • Bajo voltaje
• Degradación de la Energía • Distorsión armónica • Ruido de la línea
Planeación de la Seguridad Física Cuestiones ambientales • Drenajes positivos • Electricidad estática • Temperatura
Planeación de la Seguridad Física Cuestiones ambientales
• Utilizar Drenajes Positivos en entrepisos y sótanos • Contenido fluye hacia fuera en vez de hacia adentro • Importante para agua, vapor, líneas de gas
• Prevenir Electricidad estática • En México existe la NOM-022-STPS-2008 • Utilizar pisos antiestáticos en las áreas de procesamiento de datos • Asegurar la humedad apropiada • Adecuada conexión a tierra • No alfombras en los centros de datos • Brazaletes antiestáticos
Planeación de la Seguridad Física Cuestiones ambientales
• Evitar Temperaturas extremas • Componentes de computación pueden ser afectados por la temperatura • Dispositivos magnéticos de almacenamiento: 100F / 38C. • Sistemas informáticos y periféricos: 175F / 80C. • Productos de papel: 350F / 177C
Planeación de la Seguridad Física Ventilación
• Materiales volátiles y la concentración de partículas debe ser monitoreado para niveles inadecuados. • Ciclo Cerrado • Presurización positiva
Prevención, detección, supresión de Incendios • Prevención de Incendios • Incluye la capacitación a los empleados sobre la manera correcta de reaccionar, contar con los equipos adecuados y el tratamiento adecuado de los elementos combustibles
• Detección de Incendios • Incluye alarmas, activadores manuales de detección, sistemas automáticos de respuesta de detección con sensores, etc.
• Extinción de incendios • ¿Es el uso de un agente de supresión para apagar un incendio
Planeación de la Seguridad Física Norma para protección de incendios
• La Sociedad Americana para Pruebas y Materiales (ASTM) es la organización que crea en EE.UU. las normas que dictan las pruebas que clasifican la resistencia de fuego de los materiales • En México • La Asociación de Normalización y Certificación (ANSE) es la encargada en los referente a equipos eléctricos y conductores • La Secretaría de Trabajo ha creado varias normas para protección contra incendio la más importante es la de Centros de Trabajo NOM-002-STPS-2010
Planeación de la Seguridad Física Protecciónón de incendios
• El fuego necesita oxígeno y combustible para seguir creciendo. • Las fuentes de ignición pueden incluir: • La falla de un dispositivo eléctrico, el incorrecto almacenamiento de materiales, el mal funcionamiento de aparatos de calefacción, incendios provocados, etc.
• Nota especial en las "zonas plenum:" El espacio por encima de techos con falso plafón y debajo de pisos elevados. • Las áreas Plenum deben tener detectores de incendios y sólo se debe utilizar cableado de categoría plenum
Planeación de la Seguridad Física Tipos de fuego
•A: Combustibles comunes • Elementos: Los productos de madera, papel, laminados • Extinción: agua, espuma
•B: Líquidos y gases inflamables • Elementos: Los productos del petróleo y refrigerantes • Extinción: Gas, CO2, espuma, polvo seco
•C: Equipo Eléctrico • Elementos: Los equipos eléctricos y los cables • Extinción: Gas, polvos CO2, polvo seco
Planeación de la Seguridad Física Tipos de fuego
•D: Metales combustibles • Elementos: magnesio, sodio, potasio, uranio, litio, plutonio • Extinción: Polvo seco (cloruro de sodio, grafito en polvo)
•K: Cocinas comerciales / industriales • Elementos: incendios con aceite de cocina o grasas • Extinción: productos químicos líquidos, tales como acetato de potasio.
Planeación de la Seguridad Física Tipos de detectores de incendios 1. Activado por humo 2. Activado por calor • Conocer los tipos y propiedades de cada categoría general.
Planeación de la Seguridad Física Agentes Extintores de Incendios • Los diferentes tipos de agentes de extinción: • Agua • Gas Halón (1301 y 1211) y sustitutos del halón (Inergén, FM-200) • Espumas químicas • Baja y alta expansión • Clase A y B (sintético/ proteína)
• Polvos secos o químicos (bicarbonato, polvo multiproposito ABC)
Planeación de la Seguridad Física Agentes Extintores de Incendios • CO2 • Ácido Sódico (de Soda)
Planeación de la Seguridad Física Tipos de Rociadores / Sprinklers • Tipos de rociadores • Sistemas de tubería húmeda • Sistemas de tubería seca • Sistemas de preacción • Sistemas de diluvio • Sistema espuma/agua
Seguridad del Perímetro • La primera línea de defensa es el control del perímetro de la ubicación del sitio, para evitar el acceso no autorizado a las instalaciones • Perímetro de seguridad tiene dos modos: 1. Operación de la instalación normal 2. Operación de la instalación cerrada
Seguridad del Perímetro • “Cualquier persona con acceso físico tiene los medios y la oportunidad de cometer un delito“ • Principio de Privilegio Mínimo • Ofrecer sólo la cantidad mínima de acceso que se requiere, y restringir las personas no autorizadas a entrar en zonas sensibles • Se puede lograr por medio de examinar las ventanas, puertas, cerraduras, paredes, control de acceso, detección de intrusos
Seguridad del Perímetro • Lo que debemos examinar:
• Ejemplos de mecanismos:
a. Los límites naturales del lugar
a. Bardas
b. Cercas o muros alrededor del sitio
b. Detección de intrusión perimetral y sistemas de evaluación (Pidas)
c. El diseño de las muros exteriores del edificio d. Las divisiones y los cuellos de botella dentro del edificio
c. Iluminación de seguridad d. Circuito cerrado de televisión (CCTV) e. Guardias de seguridad y perros guardianes f. Las señales de advertencia y avisos
Seguridad del Perímetro Servicios ofrecidos
• Componentes de protección de proximidad se establecen para ofrecer los siguientes servicios: 1. El control del tráfico de peatones y vehículos 2. Niveles de protección para diferentes zonas de seguridad 3. Topes y mecanismos de retraso para la protección contra el ingreso forzado 4. Limitar y controlar los puntos de acceso
Seguridad del Perímetro Servicios de Protección
• Servicios de protección puede ser proporcionados por: 1. Disuasivos 2. Barreras físicas 3. Mecanismos de control de acceso 4. Detección de Intrusos 5. Valoración de incidentes 6. Respuesta a los incidentes
Seguridad del Perímetro Bardas perimetrales
• Las bardas o cercas son "la primera línea de defensa" • Distintas alturas, calibre y tipos de malla proporcionan características de seguridad diferentes
Seguridad del Perímetro Bardas perimetrales
• Una barda con el diseño y la altura correcta puede retrasar un intruso y trabajar como una barrera psicológica (disuasión) • Un análisis de riesgos se debe realizar para evaluar los tipos de activos físicos que se desea proteger • Barda de 1.2m – disuade a un delincuente ocasional • Barda de 2.4m – mantiene a un intruso fuera
• Necesidad de considerar calibre y tamaño de malla de alambre • Cuanto menor sea la malla, más difícil es subir • Cuanto más pesado sea el calibre, más difícil es cortarla
Seguridad del PerĂmetro Bardas perimetrales
Seguridad del Perímetro PIDAS
• Sistema de Detección de intrusión perimetral y de evaluación (PIDAS) • Un tipo de cerca que tiene sensores en la malla de alambre y la base de la cerca que detecta a los intrusos. • Un cable del sensor pasivo de vibraciones activa una alarma si se detecta una intrusión.
Seguridad del Perímetro Tipos de Puertas
• Existen cuatro tipos distintos de puertas: • Clase I: De uso residencial • Clase II: De uso comercial, donde se espera el acceso del público en general (por ejemplo, estacionamiento público, urbanización cerrada, instalaciones de almacenamiento) • Clase III: De uso industrial, donde se espera que el acceso sea limitado (por ejemplo, entradas de almacén no públicas) • Clase IV: Acceso restringido (por ejemplo, una entrada de prisión que se controlada ya sea en persona o a través de circuito cerrado de televisión)
Seguridad del Perímetro Bloqueo de puertas
• Configuración de bloqueo de puertas automáticas • A prueba de fallos: En una interrupción del suministro eléctrico, la puerta queda en un estado predeterminado de desbloqueada (abierta). • Fallo seguro: En una interrupción del suministro eléctrico, la puerta queda en un estado predeterminado de bloqueada (cerrada)
Seguridad del Perímetro Mantrap
• "Mantrap:" Una pequeña habitación con dos puertas. • La primera puerta esta cerrada • La persona se identifica y autentica. • Una vez que la persona está autenticada y autorizado el acceso, la primera puerta se abre y permite que la persona entre a la trampa.
Seguridad del Perímetro Mantrap
• La persona tiene que ser autenticada una segunda vez con el fin de abrir la segunda puerta y acceder a un área crítica. • El área de la trampa puede tener en el piso la detección de peso como un control adicional para evitar el “piggybacking”.
Seguridad del Perímetro Ventanas
• Las ventana también se pueden utilizar para promover la seguridad física: • Conocer los diferentes tipos de vidrio: a. Estándar b. Templado c. Policarbonato de Acrílico d. Con malla de acero e. Laminado f.
Pelicula solar
g. Pelicula de seguridad
Seguridad del Perímetro Muros
• Un muro reforzado puede mantener un atacante determinado de entrar en un área • Los muros deben ser diseñados con medidas anti incendio • Tipos de muro a. Madera b. Tabique c. Concreto
Seguridad del Perímetro Iluminación
• Conceptos de iluminación • Iluminación interior vs exterior • Iluminación en puestos de seguridad • Iluminación en puertas de acceso • zonas de iluminación
• Es importante contar con la iluminación correcta al utilizar varios tipos de equipos de vigilancia. • Los controles de iluminación e interruptores deben estar en áreas protegidas, cerradas y centralizadas
Seguridad del Perímetro Iluminación
• La iluminación puede disuadir a los delincuentes • La mayoría de las normas menciona dos candelas de potencia como la norma para las instalaciones que cuentan con seguridad durante la noche • El exceso de luz provoca sobre alumbramiento y ocasiona resplandor • Además de cubrir con iluminación no deseada las propiedades adyacentes
Seguridad del Perímetro Tipos de Iluminación
• Iluminación continua: Un arreglo de luces que proporcionan la misma cantidad de iluminación en toda la zona • Iluminación controlada: La organización debe poner las luminarias, de tal manera de no cegar a sus vecinos o cualquier vehículo que pase • Iluminación en espera: La iluminación se programa para encenderse y apagarse en diferentes momentos del día de forma automática
Seguridad del Perímetro Tipos de Iluminación
• Redundante o de Respaldo: En caso de estar disponible en caso de fallas de energía o situaciones de emergencia • Iluminación del Área de Respuesta: Se lleva a cabo cuando un IDS detecta actividades sospechosas y enciende las luces dentro del área especificada
Seguridad del Perímetro
Dispositivos de Vigilancia (CCTV) • Estos dispositivos suelen trabajar en conjunto con los guardias u otros mecanismos de control para ampliar su capacidad disuasiva y de protección • Los factores para seleccionar un dispositivo de CCTV son: • distancia focal • tipos de lentes (fijo vs zoom) • profundidad de campo e iris • requisitos de iluminación
Seguridad del Perímetro CCTV: Longitud focal
• La longitud focal de un lente define su eficacia en la observación de objetos • El tamaños de las imágenes que se muestran en un monitor junto con el área que se puede cubrir por la cámara se define por la longitud focal 1. distancia focal corta = más amplio ángulo de vista 2. distancia focal larga = puntos de vista más estrecho
Seguridad del Perímetro
CCTV: Profundidad de Campo • Se refiere a la parte del entorno que está enfocado • Poca profundidad de enfoque: Proporciona un fondo más borroso y lo que hace que resalte el objeto en primer plano • Mayor profundidad de enfoque: No hay mucho distinción entre los objetos en primer plano y fondo.
Seguridad del Perímetro CCTV: Monitoreo
• Es importante definir políticas para el monitoreo de los equipos de CCTV • De nada sirve tener cámaras de seguridad si no hay un oficial de seguridad monitoreándolas
• Toda la actividad de las cámaras del sistema de CCTV pueden ser grabadas para ser utilizadas como evidencia
Seguridad del Perímetro
Sistemas de detección de intrusiones • Se utilizan para detectar entradas no autorizadas y para alertar a una entidad encargada de responder rápidamente • Tipos de Sistemas IDS • electro-mecánico • menos sensible • detectan un cambio de estado en un circuito
• volumétrico • Detectan cambios de vibración, frecuencias ultrasónicas, microondas, valores infrarrojos, cambios foto eléctricos
Seguridad del Perímetro
Guardias de Seguridad y Auditoría • Usados en áreas donde habilidades de razonamiento crítico se requieren • Auditoría del acceso físico • Necesidad de registro y revisión • Fecha y hora de intento de acceso • Punto de entrada • ID de usuario • Intentos fallidos de acceso
Seguridad del Perímetro
Mecanismos de Control de Acceso • Identificación y Autenticación • Tipos de Autenticación • Contraseñas • Tokens • Biométricos
• Cerraduras mecánicas y eléctricas • Tarjetas con tecnología de identificación • Banda magnetica • RFID
Seguridad del Perímetro
Identificación y Autenticación • La identificación y autenticación son la piedra angular de la mayoría de los sistemas de control de acceso
Seguridad del Perímetro Identificación
• Es el acto en la que un usuario da a conocer su identidad a un sistema • Generalmente implementada por el identificador de usuario (User ID)
• Establece responsabilidad (accountability) por los actos realizados en el sistema
Seguridad del Perímetro Autenticación
• Es la verificación que la identidad del usuario es valida en el sistema • Generalmente implementada por contraseñas
Seguridad del Perímetro Tipos de Autenticación
• La autenticación esta basada en los siguientes tres tipos de factores: • Tipo 1 - Algo que sabes • Contraseña, Pin, etc...
• Tipo 2 – Algo que tienes • Token, smart card, etc...
• Tipo 3 – Algo que eres • Huella digital, retina, cara, etc...
Seguridad del Perímetro Contraseñas
• Frases clave (Passphrase) • Es una secuencia de caracteres que generalmente es mucho más larga que una contraseña
• Tokens • Proveen contraseñas estáticas o dinámicas a través de algún tipo de dispositivo
Seguridad del Perímetro Tokens estáticos
• Tokens con contraseña estática • El propietario se autentica el mismo al token • El token autentica al propietario a un sistema • Suelen usarse como dispositivos de identificación
Seguridad del Perímetro
Tokens de contraseña dinámica síncronos • El token genera una nueva y única contraseña a intervalos fijos de tiempo • La contraseña es ingresada al sistema junto con un número de NIP o frase del propietario • La entidad de autenticación del sistema conoce el NIP y contraseña • La contraseña generada proporciona identificación • El NIP o Frase proporciona la autenticación
• La entidad de autenticación verifica la validez de las credenciales y su ventana de tiempo
Seguridad del Perímetro
Tokens de contraseña dinámica asíncronos • Esquema similar a los síncronos excepto que la contraseña es generada de forma asíncrona al ocurrir un evento • Generalmente el propietario aprieta un botón en el dispositivo y en el servidor de autenticación • La contraseña generada y el PIN o frase del propietario son introducidas al sistema
Seguridad del Perímetro
Tokens de Desafío-Respuesta • El sistema de autenticación despliega un desafío • El desafío es introducido al dispositivo del token • El token genera una respuesta la cual es ingresada al sistema para completar la autenticación
Seguridad del Perímetro Biométricos
• Basados en la autenticación tipo 3 • Se trata de un mecanismo automatizado de identificar y/o autenticar a un individuo basándose en características fisiológicas o de comportamiento
one-to-many search
one-to-one search
Seguridad del Perímetro
Clases de un Sistema Biométrico • Según sus características se clasifican en: • Fisiológicas • Relacionadas a la forma del cuerpo • Ej.: Huellas digitales, geometría de la mano, reconocimiento de la cara, reconocimiento del iris, reconocimiento de la retina, reconocimiento del olor, DNA
• Comportamiento • Relacionadas al comportamiento de la persona • Ritmo de escritura, forma que la persona habla, manera de andar
Seguridad del Perímetro
Características de los biométricos
Seguridad del PerĂmetro
BiomĂŠtricos de huella dactilar
Seguridad del PerĂmetro BiomĂŠtricos de Iris y Retina
Seguridad del PerĂmetro
BiomĂŠtrico de Reconocimiento Facial
Seguridad del PerĂmetro GeometrĂa de la Mano
Seguridad del Perímetro
Desempeño de los biométricos • Error Tipo I • Razón de Rechazo Falso (FRR) • La probabilidad de sujetos que son falsamente rechazados (falsos negativos)
• Error Tipo II • Razón de Aceptación Falsa (FAR) • La probabilidad de sujetos que son falsamente aceptados (falsos positivos)
Seguridad del Perímetro
Desempeño de los biométricos • Razón de Error de Cruce / Crossover (CER) • El porcentaje en el que FRR es igual que el FAR (tasa de error igual [EER]) • Mientras más bajo se considera que es más exacto el sistema biométrico
Seguridad del Perímetro Cerraduras
• Las cerraduras son mecanismos de control de acceso de bajo costo que son ampliamente aceptados y utilizados • Las cerraduras se consideran dispositivos de retraso
Seguridad del Perímetro Tipos de cerraduras • Cerraduras mecánicas • Warded y Vaso
• Cerraduras de combinación • Cerraduras de cifrado o programables • Cerraduras inteligentes
• Dispositivos de cerrado • Cables de acero, ranura (KSlot), control de puertos, control de encendido de periféricos
Seguridad del Perímetro
Fortalezas de las Cerraduras • Grado 1 (uso comercial e industrial) • Grado 2 ( trabajo residencial pesado / usos comerciales ligeros) • Grado 3 (residencial)
Seguridad del Perímetro Categoría del cilindro • Seguridad Baja • ninguna resistencia a ganzúas o perforación con taladro
• Seguridad Media • un poco de resistencia a las ganzúas
• Seguridad Alta • Resistente a ganzúas a través de diferentes mecanismos • Utilizados sólo en cerraduras de grado 1 y 2
Seguridad del Perímetro
Tarjetas con Banda Magnética • Tres pistas de grabación de 2.79mm • Pista 1 y 3 con 8.27 bits/mm de capacidad • Pista 2 con 2.95 bits/mm
• Variedad de tarjetas • Alta coercitividad • HiCo, 4000 Oe • Color de la banda: Negro, Plata • Vida media mayor • Baja coercitividad LoCo, 300 Oe • Más baratas • Color de la banda: Café claro
Seguridad del Perímetro RFDI – Identificación por RF • Tipos de RFID • Tags pasivos • Tags activos
• Usos del RFID • Pasaportes • Tarjetas de crédito • Control vehicular • Gestión de acceso