Administración del control de accesos, adecuado a los sistemas de información

¿Qué es el control de accesos? El control de acceso
implica quién tiene acceso a sistemas informáticos
específicos y recursos en un momento dado. El concepto de
control de acceso consta de tres pasos. Estos pasos son la
identificación, autenticación y
autorización. Con el uso de estos tres principios un
administrador del sistema puede controlar que recursos
están disponibles para los usuarios de un sistema.

OBJETIVOS DEL CONTROL DE ACCESO Impedir el acceso no autorizado a
los sistemas de información, bases de datos y servicios de
información. Implementar seguridad en los accesos de
usuarios por medio de técnicas de autenticación y
autorización. Controlar la seguridad en la conexión
entre la red del Organismo y otras redes públicas o
privadas. Registrar y revisar eventos y actividades
críticas llevadas a cabo por los usuarios en los sistemas.
Concientizar a los usuarios respecto de su responsabilidad frente
a la utilización de contraseñas y equipos.
Garantizar la seguridad de la información cuando se
utiliza computación móvil e instalaciones de
trabajo remoto.

PRINCIPIOS DEL CONTROL DE ACCESO Uno de los principios que deben
incorporarse al establecer una política de control de
acceso eficaz es la práctica de un acceso mínimo o
menos privilegios. Lo que esto significa es que un usuario debe
tener la menor cantidad de acceso requerido para hacer su
trabajo. El principio del menor privilegio incluye la
limitación de los recursos y aplicaciones accesibles por
el usuario, así como el acceso en tiempo permitido. Por,
ejemplo, a veces, puede no ser aconsejable permitir el acceso a
los registros financieros a las 3:00 am por la mañana,
cuando las instalaciones deberían estar cerradas.

PASOS PARA UN CONTROL DE ACCESO La identificación se
refiere las cosas como nombres de usuario y tarjetas de
identificación. Es el medio por el cual un usuario del
sistema identifica quiénes son. Este paso se realiza
generalmente al iniciar sesión. La autenticación es
el segundo paso del proceso de control de acceso.
Contraseñas, reconocimiento de voz, y escáneres
biométricos son métodos comunes de
autenticación. El objetivo de la autenticación es
para verificar la identidad del usuario del sistema. La
autorizacion se produce después de que un usuario del
sistema se autentica y luego es autorizado a utilizar el sistema.
El usuario esta generalmente sólo autorizado a usar una
porción de los recursos del sistema en función de
su papel en la organización. Por ejemplo, el personal de
ingeniería tiene acceso a diferentes aplicaciones y
archivos que el personal de finanzas, o recursos humanos
no.

TIPOS DE CONTROL DE ACCESOS Gestión de accesos de usuario
Control de accesos al sistema operativo Control de acceso a la
información y aplicaciones Control de accesos en red

TIPOS DE CONTROL DE ACCESOSGestión de accesos de usuario
Registro de usuarios Gestión de privilegios Gestión
de contraseñas de usuario Revisión de los derechos
de acceso de los usuarios

TIPOS DE CONTROL DE ACCESOS Control de accesos al sistema
operativo Procedimientos de conexión de terminales
Identificación y autenticación de los usuarios
Sistema de gestión de contraseñas
Utilización de utilidades del sistema Timeout de sesiones
Limitación del tiempo de conexión

TIPOS DE CONTROL DE ACCESOS Control de acceso a la
información y aplicaciones Restricción de acceso a
la información Aislamiento de sistemas sensibles

TIPOS DE CONTROL DE ACCESOS Control de accesos en red
Política de uso de los servicios de red
Autenticación para conexiones externas
Identificación de equipos en la red Protección a
puertos de diagnóstico remoto y configuración
Segregación en las redes Control de conexión a las
redes Control de enrutamiento en red

METODOS DE CONTROL DE ACCESOS Contraseñas Certificados
Limitación del tiempo de conexión Control de acceso
a las aplicaciones Restricciones por IP Dispositivos Biometricos
ETC…

ASIGNACION DE PRIVILEGIOS El objetivo es asegurar el acceso
autorizado de usuario y prevenir accesos no autorizados a los
sistemas de información. Debería restringirse y
controlarse el uso y asignación de privilegios:
identificar los privilegios; asignar privilegios a los individuos
según los principios de “necesidad de uso”;
mantener un proceso de autorización y un registro de todos
los privilegios asignados. No se otorgarán privilegios
hasta que el proceso de autorización haya concluido;
promover el desarrollo y uso de rutinas del sistema; promover el
desarrollo y uso de programas; asignar los privilegios a un
identificador de usuario distinto al asignado para un uso normal.
Un uso inapropiado de los privilegios puede ser causa de
fallas.

REQUERIMIENTOS LEGALES Ley Orgánica de
Protección de Datos Real Decreto 994/1999 que desarrolla
el Reglamento de Medidas de Seguridad

REQUERIMIENTOS LEGALES Es importante señalar que tanto la
Ley Orgánica como el Real Decreto 994/1999 que desarrolla
el Reglamento de Medidas de Seguridad ligan el concepto
de seguridad de los datos a los conceptos de:
a) Confidencialidad: entendido como el acceso
autorizado a los datos. b) Exactitud: la
información no debe sufrir alteraciones no deseadas, en
cuanto a su contenido. c) Disponibilidad: sólo
las personas autorizadas pueden tener acceso a la
información.

REQUERIMIENTOS LEGALES Las medidas que deberán ser
adoptadas e implantadas por el Responsable del Fichero son:
Medidas Organizativas: aquellas medidas destinadas a
establecer procedimientos, normas, reglas y estándares de
seguridad, cuyos destinatarios son los usuarios que tratan los
datos de los ficheros. Medidas Técnicas: medidas
destinadas principalmente a la conservar la integridad de la
información (su no alteración, pérdida o
robo) y en menor medida a la confidencialidad de los datos
personales. Se encuentran delimitadas en función del nivel
de seguridad de los datos tratados: básico, medio y
alto.

REQUERIMIENTOS LEGALES Los niveles de seguridad en el Reglamento.
Nivel Básico: Para todos los ficheros de datos de
carácter personal. Nivel Medio: Serán adoptadas
para: Ficheros que contengan datos relativos a la comisión
de infracciones administrativas o penales. Ficheros que contengan
datos sobre Hacienda Pública. Ficheros que contengan datos
sobre Servicios Financieros. Ficheros que contengan datos sobre
solvencia patrimonial y crédito. Ficheros que contengan un
conjunto de datos suficientes que permitan elaborar un perfil del
afectado (se les aplican las medidas descritas en los art.17 a
20). Nivel Alto: Aquellos que contengan datos de
ideología, religión, creencias, origen racial,
salud, vida sexual.

REQUERIMIENTOS LEGALES

ACTIVE DIRECTORY – LDAP¿Qué es un Directorio
Activo? El directorio activo es un servicio de directorio. El
término servicio de directorio se refiere a dos cosas: un
directorio donde la información sobre usuarios y recursos
está almacenada, un servicio o servicios te dejan acceder
y manipular estos recursos. El directorio activo es una manera de
manejar todos los elementos de una red, incluidos ordenadores,
grupos, usuarios, dominios, políticas de seguridad, y
cualquier tipo de objetos definidos para el usuario.
Además de esto, provee de funciones adicionales más
allá de estas herramientas y servicios. El directorio
activo está construido alrededor de la tecnología
DNS y LDAP. Al ser protocolos de plataforma independiente, Los
ordenadores Unix, Linux y Macintosh pueden tener acceso a los
recursos de igual modo que los clientes de Windows.

ACTIVE DIRECTORY – LDAPProtocolos LDAP: Es un
protocolo que permite el acceso a un servicio de
directorio ordenado y distribuido para buscar diversa
información en un entorno de red, es un protocolo de
acceso unificado a un conjunto de información sobre una
red. También es considerado una base de datos a la que
pueden realizarse consultas. DNS: Es una base de
datos que almacena información asociada
a nombres de dominio, los usos más comunes son la
asignación de nombres de dominio a direcciones
IP y la localización de los servidores de correo
electrónico de cada dominio.
DHCP (Dynamic Host Configuration Protocol) Es
un protocolo de asignacion de direcciones ip automaticamente.
kerberos: es
un protocolo de autenticación, permite a
dos computadores en una red insegura demostrar su identidad
mutuamente de manera segura.

ACTIVE DIRECTORY – LDAPEstructura La estructura de
directorio activo tiene una forma jerárquica donde se
localizan los objetos. Estos objetos caen en tres tipos de
categorías: Recursos, como por ejemplo impresoras.
Servicios, como correo, Web, FTP, etc. Usuarios, los cuales
incluyen cuentas para conectarse, grupos de trabajo, etc. Un
objeto es únicamente identificado por su nombre y tiene un
serie de atributos definidos por un esquema, que también
determina la clase de objetos que se pueden almacenar en
él. Los atributos son las características y la
información que el objeto contiene.