Bulk Scheduling Algorithm

ESTÁNDAR O MEDIDA DE SEGURIDAD A APLICAR ACTUAL

Windows 7 Se debe contar con controles de acceso adecuados a la data y sistemas soportados por el sistema operativo

Se debe definir una clave para la BIOS.

Se debe crear usuarios con perfil limitado.

Se debe definir usuario y clave.

Se debe activar las directivas de contraseñas

- Parametrizar el cambio de clave cada 30 días

- Historial de claves utilizadas - Habilitar el nivel de complejidad

- Definir como mínimo ocho

caracteres.

Se debe suspender la combinación de teclas Ctrl+Alt+Del

58

Windows 2003 server

Se debe contar con controles de acceso adecuados a la data y sistemas soportados por el sistema operativo.

de control

Se debe habilitar que el sistema solicite al usuario autenticarse al haber cierto período de inactividad. Se debe desactivar compartir discos duros.

Se debe desactivar la opción de compartir archivos e impresoras. Se debe desactivar las conexiones de red que no se necesite o que estuvieran instaladas anteriormente. Se debe activar el servidor de seguridad incluido en Windows 7. Se debe mantener el sistema operativo con las actualizaciones críticas y periódicas al día.

Se debe aplicar estándares con mejores prácticas de seguridad para Windows 2003 server:

Se debe definir una clave para la BIOS.

Se debe crear usuario con perfil limitado

Se debe crear y definir el active directory.

Se debe parametrizar el cambio de clave cada 30 días.

Se debe suspender el acceso al panel de control.

Se debe configurar y proteger los logs de sistema.

Se debe mantener el sistema operativo con las actualizaciones críticas y periódicas al día.

Se debe aplicar estándares con mejores prácticas de seguridad para

59

Windows 2000 server

Linux (Centos)

Se debe contar con controles de acceso adecuados a la data y sistemas soportados por el sistema operativo

Se debe contar con controles de acceso adecuados a la data y sistemas soportados por el computador central. Los controles que posee este servidor deben ser lo más restrictivos posibles pues es el blanco potencial de la mayoría de intentos de acceso no autorizado. Windows 2000 server:

Se debe definir una clave para la BIOS.

Se debe crear usuario con perfil limitado

Se debe parametrizar el cambio de clave cada 30 días

Se debe suspender el acceso al panel de control

Se debe configurar y proteger los logs de sistema

Se debe mantener el sistema operativo con las actualizaciones críticas y periódicas al día.

Se debe aplicar estándares con mejores prácticas de seguridad para Linux:

Se debe crear usuario con perfil limitado sólo para consultas.

Se debe definir una clave para la BIOS.

Se debe parametrizar el cambio de clave cada 30 días.

Se debe verificar los registros (logs) del sistema, tales como /var/log/messages para no perder de vista al sistema.

Se debe permitir el acceso sólo a usuarios autorizados, cada uno de cuales necesitará contar con niveles de acceso diferentes y con derechos y permisos diferenciados dependiendo de su perfil.

Se debe asegurar que cada usuario que ingresa al sistema sea quien dice ser, eliminando cualquier posibilidad de suplantación de identidad (usuarios

60

y claves)

Realizar un monitoreo periódico de la actividad realizada en el servidor. Se debe mantener el sistema operativo con las actualizaciones críticas y periódicas al día.

Base de datos My SQL Informix

Se debe contar con controles de acceso de información de los sistemas que soportan el

negocio de la

Cooperativa.

Se debe definir un esquema que garantice que la base de datos Informix siempre esté disponible e integra.

Se debe aplicar estándares de mejores prácticas de seguridad para bases de datos Informix y MySQL Se debe monitorear periódicamente los accesos otorgados a los usuarios del sistema.

Se debe definir un esquema de "replica" de la información que mantiene su base de datos Informix a otra BD Informix remota en un local fuera de la oficina matriz.

Banca Electrónica Red Coonecta (ventanillas compartidas, bono de desarrollo) Sistema de pagos interbancarios (SPI) Cajero Automático La transmisión de los datos es realizada a través de un medio público (internet), se debe contar con medidas adecuadas para mantener la confidencialidad de la información. (encripción de la data).

Los servidores web pueden ser blanco de actividad es vandálicas con el propósito de

Estándares de encripción de información transmitida.

Los contratos de servicios con proveedores deben contar con cláusulas de confidencialidad y delimitación de responsabilidades. Se debe contar con acuerdos de nivel de servicios mínimos con proveedores, en los cuales se detalle el porcentaje mínimo de disponibilidad de los sistemas.

Auditorias de seguridad independientes de la seguridad del servidor que brinda el servicio.

Un proceso previo de certificación de servicio antes de la puesta en producción, firmado por ambas entidades.

61 Pago de planillas eléctricas afectar la imagen de la Cooperativa. La disponibilidad es un factor estratégico para el éxito del servicio.

Sistema central CONEXUS

El sistema central es el sistema que soporta la mayoría de los procesos del negocio de la Cooperativa, por lo tanto, todo acceso no autorizado al servidor representa un riesgo potencial para el negocio.

Crear perfiles de usuarios (roles) Asignar opciones a los usuarios a través de roles y perfiles

Parametrizar el cambio de clave cada treinta días.

Parametrizar para que un usuario solo pueda hacer uso de una sesión abierta.

Monitorear periódicamente los accesos otorgados a los usuarios del sistema.

Revisar y depurar de forma periódica los accesos otorgados (privilegios) a los sistemas de información.

Realizar un control dual de aprobaciones en transacciones sensibles.

Parametrización de pistas de auditoría en el sistema

Efectuar revisiones periódicas de los registros (logs) del sistema y de las operaciones realizadas.

62

Computadores personales

Se debe contar con adecuados controles de acceso a información existente en computadoras personales. Se requieren adecuados controles de accesos a la información de los sistemas desde las computadoras personales de usuarios. La existencia de diversos sistemas operativos en el parque de computadores impide estandarizar la configuración de los sistemas.

Debe existir un control sobre los dispositivos que pudieran facilitar fuga de información (disqueteras, grabadoras de cd´s, flash memorys, discos externos, etc.)

Se debe controlar y

monitorear las

aplicaciones y sistemas instalados en las PC´s

Concientizar y entrenar a los usuarios en temas de seguridad de la información.

Implementar controles de seguridad para computadores personales.

Estandarizar el sistema operativo de los computadores a una plataforma única.

Mantener actualizado y de forma periódica los inventarios del software instalado en los computadores.

Efectuar monitoreo de carpetas compartidas.

Efectuar monitoreo de las actividades de los usuarios.

Definir un usuario y clave única para el ingreso al computador.

Prohibir la extracción de información en flash memorys o cds; así como la información impresa.

Deshabilitar dispositivos de salida extraíbles Cd’s, flash memorys; etc.

63 Conexión a Internet y redes públicas / Firewall Riesgos de accesos no autorizados desde Internet y redes externas hacia los sistemas de la Cooperativa.

Adecuado uso del acceso a Internet por parte de los usuarios.

Los dispositivos que permiten controlar accesos, tales como firewalls, servidores Proxy, etc. Deben contar con medidas de seguridad adecuadas para evitar su manipulación por personas no autorizadas.

Definir políticas de seguridad

Delimitar responsabilidades referentes a la seguridad de información en contratos con proveedores.

Diseñar e implementar una arquitectura de seguridad de red; usando herramientas firewall físicas o lógicas para la administración del tráfico de red interna y externa.

Utilizar un sistema de detección de intrusos; definiendo controles y filtros para el acceso a internet.

Especificar acuerdos mínimos de nivel de servicio con el proveedor.

Habilitar el filtrado de protocolos SSL, para certificar las páginas a visitar.

64