UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial

CAPITULO 7 SEGURIDAD Y CONTROL DE LOS SISTEMAS DE INFORMACION

1. Vulnerabilidad y abuso del sistema Antes de la automatización por computadora, los dat os sobre individuos y organizaciones se conservaban y aseguraban como registros en papel, dispersos en unidades de negocios u organizaciones independientes. Los sistemas de información conc entran los datos en archivos de computadora a los que puede t ener acceso gran cantidad de personas y grupos ajenos a la organización. En consecuencia, los datos automatizados son más susceptibles a destrucción, fraude, error y mal uso. Cuando los sistemas de computación no corren o funcionan con se requiere, las empresas que dependen en gran medida de las computadoras experimentan una grave pérdida en s us funciones empresariales. Cuanto más tiempo fallan los sistemas de cómputo, más graves son las consecuencias para la empresa.

Por qué son vulnerables los sistemas Cuando se guardan grandes cantidades de datos en formato electrónico s on vulnerables a muchos más tipos de amenazas que cuando están en formato manual. Las fallas pueden provenir de factores técnicos, organizacionales y del ent orno, combinados con decisiones administrativas deficientes. Los adelantos en las telecomunicaciones y el software de cómputo han magnificado estas vulnerabilidades. Los sistemas de información de diferentes lugares se pueden interconectar a través de las redes de telecomunicaciones. El potencial para acceso no autorizado, abuso o fraude no s limita a un lugar único sino que puede ocurrir en cualquier punto de acceso en la red. Adicionalmente, para establecer las redes de telecomunicaciones se requieren combinaciones más complejas y diversas de hardware, software, organiz acionales y de pers onal, lo cual genera nuevas áreas y oportunidades de penetración y manipulación. Las redes inalámbric as que usan tecnología basada en radio son incluso más vulnerables a la penet ración porque las bandas de radiofrecuencia son fáciles de rastrear. Las LANs que utilizan el estándar 802.11b (Wi – Fi) pueden ser fáciles de penetrar por externos mediante computadoras portátiles, tarjetas inalámbricas, antenas externas y software de piratería informática. Los hackers (pirat as informáticos) pueden usar estas herramient as para detectar redes Wi – Fi corporativas. Aunque el alcance de la redes Wi – Fi es de sólo algunas decenas de metros, puede extenderse alrededor de 400 metros usando antenas exteriores. Internet plantea problemas especiales porque se diseñó explícitamente para que las personas tuvieran fácil acceso a ella mediante diversos sistemas de cómput o. En la figura s e ilustran las vulnerabilidades de las redes de telecomunicaciones.

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

51

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial

Figura. Vulnerabilidades de las redes de telecomunicaciones

Hackers y virus de computadora El crecimiento explosivo del uso de Internet por las empresas y los individuos ha sido acompañado por informes crecientes de violaciones a la seguridad de Internet. La principal preocupación viene de los intrusos no deseados, o hackers, que usan la tecnología más reciente y sus habilidades para irrumpir en computadoras supuestament e seguras o para dañarlas. Un hacker es una persona que obtiene acceso no autorizado a una red de computación para obtener provecho, realizar actos delictivos o por placer personal. Hay muchas maneras en que las irrupciones del hacker pueden dañar a las empresas. Algunos int rusos malévolos han plantado bombas lógicas, caballos de Troya y ot ros tipos de soft ware que pueden esconder en un sistema o red hasta que se ejecutan en un momento especificado. En los ataques de denegación de servicios, los hackers inundan un servidor de red o de la web con muchos miles de mensajes o solicitudes de servicios falsos para saturar la red. Ésta recibe tantas solicitudes que no puede mantener el ritmo y es incapaz de atender las solicitudes legítimas. El costo de estos ataques para las empresas está subiendo a una velocidad alarmant e. La vent ana a las organizaciones describe el daño creado por el robo en línea de número de tarjetas de crédito. Los virus de computadora que propagan los hackers han causado graves daños a los sistemas. Son programas de software destructor que se extienden sin control de sistema en sistema, obstruyendo la memoria de la comp utadora o destruyendo programas o datos. Actualmente muchos virus se propagan a través de Internet, a partir de archivos de software descargado o de archivos adjuntos a transmisiones de correo electrónic o. Los virus también pueden invadir sistemas computarizados de información desde ot ras redes de computadora así como de disquetes “infectados” de una fuente externa o c omput adoras infectadas. La amenaza de daño masivo y pérdidas a partir de futuros virus de computadora permanece latente. Hoy en día, los virus se están extendiendo a los dispositivos de cómputo inalámbricos. Los virus de dispositivos móviles podrían plantear una grave amenaza para la computación empresarial porque hay demasiados dispositivos inalámbricos enlazados a los sistemas corporativos de información.

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

52

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial

Preocupaciones de constructores y usuarios de sistemas La elevada vulnerabilidad de los datos automatizados ha creado preocupaciones especiales entre los constructores y los usuarios de sistemas de información. E ntre estas preocupaciones están los desastres, la seguridad, los errores administrativos y otros. Desastres El hardware, programas, archivos de dat os y otro equipo de computación pueden s er destruidos por incendios, fallas en el suministro de energía u otros desastres. Puede tomar muchos años y millones de dólares reconstruir archivos de datos y programas de computadoras destruidos y algunos tal vez no se puedan reemplazar. Seguridad La seguridad se refiere a las políticas, los procedimientos y las medidas técnicas que se emplean para prevenir acceso no autorizado, alteración, robo o daño físico a los sistemas de información. La seguridad puede foment arse con una serie de t écnicas y herramientas para salvaguardar hardware, software, redes de comunicaciones y datos de computadora. Errores Las computadoras también pueden funcionar como instrument os de error, que pueden desestabilizar o destruir gravemente los registros y operaciones de una organización. Un gran problema de software es la presencia de errores de programación ocultos o defectos en el código de los programas. La fuente principal de errores de programación es la complejidad del código de toma de decisiones. Incluso un programa relativamente pequeño de varios cientos de líneas contendrá decenas de decisiones que conducen a cientos o incluso miles de rutas diferentes. Por lo común, los programas important es dentro de la mayoría de las corporaciones son mucho más grandes y contienen decenas de miles o incluso millones de líneas de código, cada una c on muchas más opciones y rutas que las de los programas más pequeños. La meta de cero defectos perseguida por la calidad total no se puede lograr en programas muy grandes. Simplemente no es posible realizar pruebas exhaustivas. Eliminar los errores de programación del software es un ejercicio que ve en detrimento de las utilidades, porque eso tomaría proporcionalmente mucho más tiempo de pruebas para detectar y eliminar los errores de programación que permanecen ocultos. La pesadilla del mantenimiento Otra razón de que los sistemas sean inestables es que tradicionalmente el mantenimiento del software sido una pesadilla. El mantenimiento, el proceso de modificar un sistema que ya está en uso, es la fase más costosa del proces o de desarrollo de sistemas. En la mayoría de las organizaciones casi la mitad del tiempo del personal de sistemas de información se consume en el mantenimiento de sistemas existentes. Probl emas de la calidad de datos La fuente más común de fallas en los sistemas de información es la deficiente calidad de los datos. Datos inexactos, inoportunos o inconsistentes con otras fuentes de información pueden crear graves problemas funcionales y financieros para los negocios. Cuando los datos defectuosos pasan inadvertidos, pueden conducir a decisiones incorrectas, retiro de productos e incluso pérdidas financieras.

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

53

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial

2. Creación de un entorno de control Para minimizar errores, desastres, interrupciones de servicio, delitos informáticos y violaciones a la seguridad, se deben incorporar políticas y procedimientos es peciales en el diseño e implementación de sistemas de información. La combinación de medidas manuales y automatizadas que salvaguardan los sistemas de información y aseguran que se desempeñe según los estándares de administración se conoc e como controles. Los controles consisten en todos los métodos, políticas y procedimientos organizacionales que garantizan la seguridad de los activos de la organiz ación, la exactitud y confiabilidad de sus registros contables y el apego de sus operaciones a los estándares que defina la administración. Los controle s generales gobiernan el diseño, la seguridad y el uso de programas de computación y la seguridad de arc hivos de datos en general a lo largo de la infraestructura de tecnología de la información de la organización. Los controles generales se utilizan en todas las aplicaciones computarizadas y consisten en una combinación de hardware, software y procedimientos manuales que crean un entorno de control global. Los controle s de aplicaciones son controles espec íficos únicos para cada aplicación computarizada, como procedimiento de pedidos. Consta de cont roles aplicados desde el área funcional de negocios de un sistema particular y de procedimientos programados.

Controles generales y seguridad de datos Los controles generales incluyen controles de software, c ontroles de hardware físico, controles de operaciones de cómputo, controles de seguridad de datos, controles sobre el proceso de implementación de sistemas y controles administrativos. Tipo de control Cont roles de software

Descripción Monitorean el uso del software del sistema y previenen el acceso no autorizado a programas de software, software del sistema y programas de computadora. El software del sistema es un área de control importante porque desempeña funciones de control global para los programas que procesan directamente datos y archivos de datos.

Cont roles hardware

de

Aseguran que el hardware de cómputo sea físicamente seguro y verifican el funcionamient o defectuoso del equipo. Los equipos de cómputo se deben proteger especialmente contra incendios y temperatura y humedad extremas. Las organiz aciones que dependen en gran medida de sus computadoras también deben tomar provisiones de res paldo o el funcionamient o continuo pa ra mantener el servicio constante.

Cont roles operaciones cómputo

de de

Vigilan el trabajo del depart amento de computación para garantizar que los proc edimientos programados se apliquen de manera consistente y correcta al almacenamiento y procesamiento de datos. Incluyen controles sobre la instalación de los trabajos de procesamiento de cómputo y las operaciones de cómputo, y sobre el procedimiento de respaldo y recuperación para el procesamiento que termina de manera deficiente.

Cont roles de seguridad de datos

Aseguran que los archivos de datos de negocios en disco o cinta no sean objeto de acceso no autorizado, cambio o destrucción mientras están en uso o almacenados.

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

54

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial Cont roles de implementación

Auditan el proceso de desarrollo de sistemas en varios puntos para garantizar que el proceso se c ontrole y administre adecuadamente. La auditoria del desarrollo de sistemas busca la presencia de revisiones formales por part e de los usuarios y la administración en las diversas etapas del desarrollo; el nivel de implicación del usuario en cada etapa de la implementación, y el uso de una metodología formal de costo/beneficio para establecer la factibilidad del sistema. La auditoria debe buscar el uso de controles y técnicas de garantía de calidad para el desarrollo, conversión y prueba de los programas y para la documentación completa y minuciosa del sistema, el usuario y las operaciones.

Cont roles administrativos

Estándares, reglas, procedimient os y disciplinas de c ontrol formalizados para garantizar que se ejecuten y apliquen adecuadamente los controles generales y de aplicación de las organización.

Aunque la mayoría de estos controles generales los diseñan y mantienen especialistas de sistemas de información, los controles de seguridad de los datos y los controles administrativos requieren la participación y vigilancia de los usuarios finales y gerentes de negocios.

Controles de aplicaciones Los controles de aplicaciones incluyen los procedimientos automatizados y manuales que garantizan que una aplicación complete y proces e con precisión solamente los dat os autorizados. Los controles de aplicaciones se pueden clasificar: Controles de entrada Verifican la exactitud e integridad de los datos cuando entran en el sistema. Hay controles de entrada espec íficos para autorización de entrada, conversión de dat os, edición de datos y manejo de errores. Controles de proce samiento Establecen que los datos estén completos y exactos durante la actualización. La ejecución de totales de control, la comparació n de computadoras y las verificaciones de ediciones programadas se usan con este propósito. Controles de salida Aseguran que los resultados del procesamiento de cómputo sean exactos, estén completos y se distribuyan adecuadament e. No t odos los cont roles de aplicaciones expuestos se usan en todos los sistemas de información. Algunos sistemas requieren más de estos cont roles que otros, dependiendo de la importancia de los datos y de la naturaleza de la aplicación.

3. Garantía de la seguridad de sistemas Las organizaciones pueden mejorar la calidad del sistema usando técnicas para garantizar la calidad del soft ware y mejorando la calidad de sus datos.

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

55

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial

Metodologías y herramientas para garantizar la calidad del software Entre las soluciones para os problemas de calidad del software se incluy en el uso de una metodología adecuada de desarrollo de sistemas. La asignación adecuada de recursos durante el desarrollo de los sistemas, el uso de métricas y poner atención en las pruebas. Metodologías e structurada s Se han empleado varias herramientas y metodologías de desarrollo para ayudar a los constructores de sistemas a document ar, analizar, diseñar e implementar sistemas de información. Una metodología de desarrollo es un conjunt o de métodos, uno o más para cada actividad dentro de cada fase de un proyecto de desarrollo de sistemas. Análisi s e structurado El análisis estructurado s e usa mucho para definir estradas, procesos y salidas del sistema. Ofrec e un modelo gráfico lógico de flujo de información, partici onando un sistema en módulos que muestran niveles manejables de detalle. Especifica rigurosamente los proc esos o transformaciones que oc urren dent ro de cada módulo y las interfac es que existen ent re ellos. Su herramient a primaria es el diagrama de flujo de datos (DFD), una representación gráfica de los procesos de componentes de un sistema y las interfaces (flujo de datos ) entre ellos. Di seño estructurado El diseño estructurado comprende un conjunto de reglas y técnicas de diseño que promueven la claridad y sencillez del programa, reduciendo así el tiempo y el es fuerzo requeridos para c odificación, depuración y mant enimiento. El principio básico del diseño estructurado es que un sistema debe diseñarse en forma jerárquica y refinarse a niveles mayores de detalle. El diseño debe considerar primero la función principal de un programa o sistema, luego debe dividir esta función en subfunciones y descomponer cada subfunción hasta el nivel más bajo de detalle que se hay a alcanzado. Los módulos de nivel más bajo describen el proc esamiento real que ocurrirá. De esta manera se desarrollan toda la lógica de alto nivel y el modelo de diseño antes de que se escriba el código del programa detallado. Programación estructurada La programación estructurada extiende los pri ncipios que gobierna el diseño estructurado a la escritura de programas para hacer que los programas de soft ware sean fáciles de entender y modificar. Se basa en el principio de la modularización que se sigue del análisis y diseño jerárquico. Cada uno de l os cuadros de la gráfica de estructura repres enta un módulo componente que por lo común se relaciona directamente con un módulo de diseño de nivel inferior. Constituye una unidad lógica que desempeña una o varias funciones. Idealmente, los módulos deber s er independientes entre sí y deben tener sólo un punto de entrada y de salida. Deben compartir los datos con los menos módulos posibles. Cada módulo se debe conservar a un tamaño manejable. Un individuo debe ser capaz de leer y entender el código del programa del módulo y hacer fácilmente el seguimiento de sus funciones. Limitaciones de los métodos tradicionales Aunque los métodos tradicionales son valiosos, pueden ser inflexibles y consumidores de tiempo. Se requiere la terminación del análisis estructura do antes de que se pueda empezar el diseño la programación debe esperar los productos terminados del diseño. Un cambio en las especificaciones requiere que antes se modifiquen los documentos

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

56

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial del análisis y luego los documentos del diseño antes de que se puedan cambiar los programas para que reflejen el nuevo requerimiento. Las metodologías estructuradas están orientadas a la función, enfocándose en los procesos que transforman los datos. Herramientas y metodologías para el desarrollo orientado a objetos Se han des arrollado varias técnicas para el análisis y diseño de sistemas basados en objetos pero el lenguaje de modelado unificado (UML) se ha convertido en el estándar de la industria. El UML permite que los constructores del sistema represent en varias vistas de un sistema basado en objetos usando varios tipos de diagramas gráficos y el modelo subyacente integra estas vistas para fomentar la consistencia durante el análisis, plan e implementación. Ingeniería de software asi stida por computadora La ingeniería de software asistida por computadora (CASE) – a veces llamada ingeniería de soft ware asistida por computadora – es la automatización de metodologías paso a paso para el desarrollo de software y de sistemas para reducir la cantidad de trabajo repetitivo que el diseñador necesita saber. Su adopción puede dejar libre al diseñador para tareas más creativas de solución de problemas. Las herramientas CASE también facilitan la creación de document ación estructurada y la coordinación de los es fuerzos de desarrollo del equipo. Los miembros del equipo pueden compartir fácilmente su trabajo accediendo a los arc hivos de cada uno para revis ar o modificar lo que se ha hecho. Algunos estudios han encontrado que los sistemas desarrollados con CASE y las más nuevas tecnologías son más confiables y requieren mantenimiento con menor frecuencia. También se pueden lograr beneficios modestos de productividad si se usan adecuadament e las herramientas. Asignación de recursos durante el desarrollo de sistemas Con el paso del tiempo, los enfoques para la asignación de recursos durante el tiempo de sistemas han cambiado de manera significativa. La asignación de recursos determina la manera en que se asignan costos, tiempo y personal a las diversas fases del proyecto. Se debe dedicar más tiempo al análisis de especificaciones y sistemas, disminuyendo la proporción del tiempo de programación y reduciendo la necesidad de tanto tiempote mantenimiento. Documentar los requerimient os para que se puedan entender desde su origen a t ravés del desarrollo, especificación y uso continuo también puede reducir errores así como tiempo y costos. Métrica del software La métrica del software puede jugar un papel vital en el incremento de la calidad del sistema. La métrica del software es la evaluación objetiva del sistema en forma de medidas cuantificadas. El uso constante de la métrica permite al departamento de sistema de información y al usuario medir juntamente el desempeño del sistema e identificar los problemas conforme ocurren. Ejemplos de métrica del software incluyen la c antidad de transacciones que se pueden procesar en una unidad especificada de tiempo, tiempo de respuesta en línea, cantidad de cheques impresos por hora y el número de errores de programación conocidos por cada cien líneas de código. Para que la métrica funcione con éxito se debe diseñar cuidadosamente de manera formal y objetiva. Debe medir as pectos significativos del sistema. Además, la métrica

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

57

UNIVERSIDAD SALESIANA DE BOLIVIA Sistemas de Información Gerencial no tiene ningún valor a menos que se use de forma constante y que l os usuarios acepten de antemano las mediciones. Prueba En general, la prueba de soft ware con frecuencia se entiende mal. Muchos ven la prueba como una manera de demostrar la exactitud del trabajo que han efectuado. De hecho, se sabe que todo software de tamaño regular está ac ribillado de errores y que para descubrir estos errores se debe hacer la prueba. La prueba empieza en la fase de diseño. Como aún no existe codificación alguna, la prueba que normalmente se aplica es una versión superficial, la revi sión de una especificación o del documento de diseño hecha por un pequeño grupo de personas cuidadosamente seleccionadas con base en las habilidades necesarios para los objetivos particulares que s e han de probar. Una vez que se empiez a a codificar, las revisiones superficiales del código también se pueden usar para repasar el código del programa. Sin embargo, el código debe probarse al instalarlo y correrlo en la computadora. Cuando se descubren los errores, se encuent ra y se elimina la fuente a través de un proces o llamado depuración.

Cap. 7 Seguridad y Control de los Sistemas de Información Lic. Shirley Solange Salazar Montoya

Página

58