MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW2.2.1 Control: La red debe ser protegida de otras redes o subredes
(internas o externas) mediante uno o más firewalls
NW2.2.2 Control: Se deben establecer normas y procedimientos
para administrar firewalls que cubran:
a) el filtrado de tipos específicos o fuentes de tráfico de
la red (por ejemplo, direcciones IP, puertos TCP o
información sobre el estado de las comunicaciones y los
usuarios)
b) el bloqueo o la restricción de determinados tipos u
otras fuentes de tráfico de la red
c) el desarrollo de normas predefinidas (o tablas) para
filtrar el tráfico de la red
d) la protección de firewalls contra ataques o fallas
e) limitar la revelación de información acerca de la red
NW2.2.3 Control: Los firewalls deben ser utilizados para
chequear:
a) las direcciones de destino y los puertos
b) la información sobre el estado de las comunicaciones
asociadas
c) la información sobre el estado de los usuarios
d) la validez de un servicio de red
NW2.2.4 Control: Los firewalls deben ser configurados para:
a) negar el tráfico de red por defecto
b) proteger los protocolos de comunicación que son
propensos a los abusos (por ejemplo, DNS, FTP, NNTP,
RIP, SMTP, Telnet, UUCP)
c) bloquear los paquetes de red usados para la ejecutar
ataques de "denegación del servicio"
d) negar el tráfico entrante para la dirección fuente que
ha sido suplantada
e) negar el tráfico saliente para la dirección que han sido
suplantada
NW2.2.5 Control: Los firewalls debe configurarse para bloquear o
restringir las comunicaciones basadas en una fuente o
destino especifico (por ejemplo, direcciones IP o puertos
tales como: 20 y 21 para FTP, 23 para Telnet)
NW2.2.6 Control: El filtrado del tráfico de la red debe basarse en
reglas predefinidas que:
a) han sido desarrollados por personal de confianza y
están sujetas a revisión
b) se basan en el principio del "mínimo acceso"
c) se documentan y se mantienen actualizadas
d) son tenidas en cuenta en una política de seguridad de
la información, en las normas y procedimientos de la red
y en los requisitos de los usuarios
NW2.2.7 Control: Antes que se apliquen nuevas reglas o se
cambien otras, se debe verificar si son fuertes y
correctas y deben ser aprobadas por el dueño de la red
Página 181 de 207