Políticas de seguridad en cómputo para la Facultad de Ingeniería
Políticas de seguridad en cómputo para la Facultad de Ingeniería Políticas de seguridad en cómputo para la Facultad de Ingeniería
Políticas de seguridad en cómputo para la Facultad de Ingeniería
- Page 2 and 3: Políticas de seguridad en cómputo
- Page 4 and 5: Elaboró ___________________ Firma
- Page 6 and 7: Introducción Políticas de segurid
- Page 8 and 9: Seguridad en cómputo Políticas de
- Page 10 and 11: Políticas de seguridad en cómputo
- Page 12 and 13: Políticas de seguridad en cómputo
- Page 14 and 15: Políticas de seguridad en cómputo
- Page 16 and 17: Políticas de seguridad en cómputo
- Page 18 and 19: POLÍTICAS DE CONTRASEÑAS Polític
- Page 20 and 21: Políticas de seguridad en cómputo
- Page 22 and 23: Políticas de seguridad en cómputo
- Page 24 and 25: Políticas de seguridad en cómputo
- Page 26 and 27: Políticas de seguridad en cómputo
- Page 28 and 29: POLÍTICAS DE SITIOS WEB Políticas
- Page 30 and 31: Políticas de seguridad en cómputo
- Page 32 and 33: Políticas de seguridad en cómputo
- Page 34 and 35: Políticas de seguridad en cómputo
- Page 36 and 37: Políticas de seguridad en cómputo
- Page 38 and 39: Cambio en la configuración de los
- Page 40 and 41: Políticas de seguridad en cómputo
- Page 42 and 43: 2. Perseguir y enjuiciar Políticas
- Page 44 and 45: Políticas de seguridad en cómputo
- Page 46 and 47: Políticas de seguridad en cómputo
- Page 48 and 49: Aprobación. • Incluir un program
- Page 50 and 51: Políticas de seguridad en cómputo
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong><br />
<strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Índice<br />
Responsables <strong>de</strong> <strong>la</strong> e<strong>la</strong>boración, aprobación y autorización.<br />
Historial <strong>de</strong>l docum<strong>en</strong>to.<br />
Introducción.<br />
Seguridad <strong>en</strong> <strong>cómputo</strong>.<br />
Factores críticos.<br />
Filosofía <strong>de</strong> políticas <strong>de</strong> <strong>seguridad</strong>.<br />
Comité asesor <strong>de</strong> <strong>cómputo</strong> <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Integrantes <strong>de</strong>l CACFI.<br />
Departam<strong>en</strong>to <strong>de</strong> Seguridad <strong>en</strong> Cómputo <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Sección <strong>de</strong> <strong>Políticas</strong><br />
Responsabilida<strong>de</strong>s <strong>de</strong>l usuario.<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> física.<br />
<strong>Políticas</strong> <strong>de</strong> reg<strong>la</strong>m<strong>en</strong>tos internos.<br />
<strong>Políticas</strong> <strong>de</strong> contraseñas.<br />
<strong>Políticas</strong> <strong>de</strong> control <strong>de</strong> acceso.<br />
<strong>Políticas</strong> <strong>de</strong> uso a<strong>de</strong>cuado.<br />
<strong>Políticas</strong> <strong>de</strong> respaldos.<br />
<strong>Políticas</strong> <strong>de</strong> correo electrónico.<br />
<strong>Políticas</strong> <strong>de</strong> <strong>de</strong>sarrollo <strong>de</strong> software.<br />
<strong>Políticas</strong> <strong>de</strong> contabilidad <strong>de</strong>l sistema.<br />
<strong>Políticas</strong> <strong>de</strong> uso <strong>de</strong> direcciones IP.<br />
<strong>Políticas</strong> <strong>de</strong> sitios web.<br />
<strong>Políticas</strong> <strong>para</strong> re<strong>de</strong>s inalámbricas.<br />
<strong>Políticas</strong> <strong>de</strong> tecnologías emerg<strong>en</strong>tes.<br />
<strong>Políticas</strong> <strong>de</strong> contratación y finalización <strong>de</strong> re<strong>la</strong>ciones <strong>la</strong>borales <strong>de</strong> recursos humanos <strong>en</strong><br />
sistemas informáticos.<br />
<strong>Políticas</strong> <strong>de</strong> co<strong>la</strong>boración conjunta.<br />
Actualización <strong>de</strong> <strong>la</strong>s políticas.<br />
<strong>Políticas</strong> refer<strong>en</strong>tes a <strong>la</strong> auditoria.<br />
<strong>Políticas</strong> sobre inci<strong>de</strong>ntes graves.<br />
<strong>Políticas</strong> <strong>de</strong>l p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias.<br />
Sanciones<br />
Inci<strong>de</strong>ntes <strong>de</strong> Seguridad<br />
Posibles causas <strong>de</strong> vio<strong>la</strong>ción <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong><br />
Procedimi<strong>en</strong>tos <strong>en</strong> caso <strong>de</strong> vio<strong>la</strong>ción <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong><br />
¿Qué suce<strong>de</strong> si un usuario local vio<strong>la</strong> <strong>la</strong>s políticas <strong>de</strong> un sitio remoto?<br />
Estrategias ante un inci<strong>de</strong>nte <strong>de</strong> <strong>seguridad</strong><br />
Desarrollo <strong>de</strong> un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
P<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Definición <strong>de</strong> un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Fases <strong>de</strong> un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cia<br />
Características <strong>de</strong> un P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias<br />
Características <strong>de</strong> un bu<strong>en</strong> p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
2
Estructura <strong>de</strong> g<strong>en</strong>eral <strong>de</strong>l p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Bu<strong>en</strong>as Prácticas<br />
Bu<strong>en</strong>as prácticas <strong>para</strong> el uso <strong>de</strong> correo electrónico<br />
Bu<strong>en</strong>as prácticas <strong>para</strong> re<strong>de</strong>s inalámbricas<br />
Bu<strong>en</strong>as prácticas <strong>para</strong> el uso <strong>de</strong> tecnologías emerg<strong>en</strong>tes<br />
Bu<strong>en</strong>as prácticas <strong>para</strong> <strong>la</strong> co<strong>la</strong>boración<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Códigos <strong>de</strong> Ética<br />
Códigos <strong>de</strong>ontológicos <strong>en</strong> informática<br />
Situación actual <strong>de</strong> <strong>la</strong> ética <strong>de</strong> <strong>la</strong> informática<br />
Códigos <strong>de</strong> ética<br />
Código <strong>de</strong> ética universitario<br />
Código <strong>de</strong> ética <strong>para</strong> <strong>la</strong> facultad <strong>de</strong> ing<strong>en</strong>iería <strong>en</strong> el ámbito <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática<br />
Responsabilidad hacia <strong>la</strong> profesión<br />
Evaluación a los alumnos<br />
Normatividad y lineami<strong>en</strong>tos <strong>para</strong> el <strong>de</strong>sarrollo <strong>de</strong> sistemas <strong>para</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería<br />
Normatividad y lineami<strong>en</strong>tos <strong>para</strong> el <strong>de</strong>sarrollo <strong>de</strong> sistemas<br />
Glosario <strong>de</strong> términos y <strong>de</strong>finiciones<br />
Glosario<br />
3
E<strong>la</strong>boró<br />
___________________<br />
Firma<br />
Responsable <strong>de</strong> <strong>la</strong> e<strong>la</strong>boración y<br />
edición <strong>de</strong>l docum<strong>en</strong>to<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Aprobó<br />
____________________<br />
Firma<br />
Responsable <strong>de</strong>l <strong>de</strong>partam<strong>en</strong>to <strong>de</strong><br />
<strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong><br />
Autorizó<br />
____________________<br />
Firma<br />
Responsable <strong>de</strong>l CACFI<br />
4
Fecha <strong>de</strong><br />
e<strong>la</strong>boración<br />
Fecha <strong>de</strong><br />
autorización<br />
CONTROL DE REVISIONES<br />
Fecha <strong>de</strong><br />
instauración<br />
COPIA PARA<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Historial <strong>de</strong>l docum<strong>en</strong>to<br />
Quién Autoriza Naturaleza <strong>de</strong>l<br />
cambio<br />
Ultima revisión Tiempo <strong>en</strong>tre<br />
revisión<br />
Área / Dirección Persona<br />
Fecha <strong>de</strong> <strong>la</strong> próxima<br />
revisión<br />
<strong>Facultad</strong> <strong>de</strong> ing<strong>en</strong>iería, UNAM Toda <strong>la</strong> comunidad <strong>de</strong> <strong>la</strong> facultad <strong>de</strong> ing<strong>en</strong>iería<br />
5
Introducción<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Este docum<strong>en</strong>to pres<strong>en</strong>ta <strong>la</strong>s políticas <strong>de</strong> alcance institucional que permite crear y<br />
establecer una filosofía sobre <strong>la</strong> postura que <strong>en</strong> materia <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>de</strong>be<br />
t<strong>en</strong>er <strong>la</strong> institución respecto a los riesgos que <strong>la</strong> ro<strong>de</strong>an.<br />
Las políticas <strong>de</strong>fin<strong>en</strong> ciertos lineami<strong>en</strong>tos que establec<strong>en</strong> un límite <strong>en</strong>tre lo que está<br />
permitido a los usuarios <strong>de</strong>ntro <strong>de</strong> <strong>la</strong> institución y fuera <strong>de</strong> el<strong>la</strong> así como lo que se<br />
<strong>en</strong>cu<strong>en</strong>tra prohibido, esto es con el propósito <strong>de</strong> proteger <strong>la</strong> información almac<strong>en</strong>ada <strong>en</strong><br />
los sistemas y el acceso a éstos.<br />
Para ello, se consi<strong>de</strong>ra que <strong>para</strong> <strong>la</strong> institución, el principio básico <strong>de</strong> <strong>seguridad</strong> es "Lo<br />
que no se permite expresam<strong>en</strong>te, está prohibido".<br />
La tecnología ti<strong>en</strong>e <strong>la</strong> capacidad <strong>para</strong> abrir <strong>la</strong>s puertas a un vasto mundo <strong>de</strong> recursos <strong>de</strong><br />
información, así como <strong>de</strong> personas, a cualquier estudiante o miembro <strong>de</strong> <strong>la</strong> comunidad<br />
universitaria con una conexión a Internet. Las oportunida<strong>de</strong>s que se ti<strong>en</strong><strong>en</strong> con esta<br />
conectividad son casi ilimitadas, más no así, los recursos computacionales y <strong>de</strong><br />
conectividad disponibles.<br />
Este nuevo mundo virtual al que se ti<strong>en</strong>e acceso requiere <strong>de</strong> reg<strong>la</strong>s y precauciones <strong>para</strong><br />
asegurar un uso óptimo y correcto <strong>de</strong> los recursos. En este s<strong>en</strong>tido, <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería cree firmem<strong>en</strong>te <strong>en</strong> que el <strong>de</strong>sarrollo <strong>de</strong> políticas que sean c<strong>la</strong>ras, bi<strong>en</strong><br />
<strong>en</strong>t<strong>en</strong>didas, que circul<strong>en</strong> ampliam<strong>en</strong>te, sean difundidas y que sean efectivam<strong>en</strong>te<br />
implem<strong>en</strong>tadas, conllevará a hacer <strong>de</strong> <strong>la</strong> red <strong>de</strong> <strong>cómputo</strong> <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> y el Internet un<br />
ambi<strong>en</strong>te más seguro y productivo <strong>para</strong> estudiantes y miembros <strong>en</strong> g<strong>en</strong>eral <strong>de</strong> <strong>la</strong><br />
comunidad universitaria.<br />
Las políticas <strong>de</strong> <strong>seguridad</strong> son los docum<strong>en</strong>tos que <strong>de</strong>scrib<strong>en</strong>, principalm<strong>en</strong>te, <strong>la</strong> forma<br />
a<strong>de</strong>cuada <strong>de</strong> uso <strong>de</strong> los recursos <strong>de</strong> un sistema <strong>de</strong> <strong>cómputo</strong>, <strong>la</strong>s responsabilida<strong>de</strong>s y<br />
<strong>de</strong>rechos que tanto usuarios como administradores ti<strong>en</strong><strong>en</strong> y qué hacer ante un inci<strong>de</strong>nte<br />
<strong>de</strong> <strong>seguridad</strong>.<br />
Mi<strong>en</strong>tras <strong>la</strong>s políticas indican el “qué”, los procedimi<strong>en</strong>tos indican el “cómo”. Los<br />
procedimi<strong>en</strong>tos son los que permit<strong>en</strong> llevar a cabo <strong>la</strong>s políticas. Ejemplos que requier<strong>en</strong><br />
<strong>la</strong> creación <strong>de</strong> un procedimi<strong>en</strong>to son los sigui<strong>en</strong>tes:<br />
• Otorgar una cu<strong>en</strong>ta.<br />
• Dar <strong>de</strong> alta a un usuario.<br />
• Conectar una computadora a <strong>la</strong> red.<br />
• Localizar una computadora.<br />
• Actualizar el sistema operativo.<br />
• Insta<strong>la</strong>r software localm<strong>en</strong>te o vía red.<br />
• Actualizar software crítico.<br />
• Exportar sistemas <strong>de</strong> archivos.<br />
• Respaldar y restaurar información.<br />
• Manejar un inci<strong>de</strong>nte <strong>de</strong> <strong>seguridad</strong>.<br />
6
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Para que se cu<strong>en</strong>te con un cierto nivel <strong>de</strong> <strong>seguridad</strong>, <strong>la</strong>s políticas <strong>de</strong>b<strong>en</strong> ser:<br />
• Apoyadas por los directivos.<br />
• Únicas.<br />
• C<strong>la</strong>ras (explícitas).<br />
• Concisas (breves).<br />
• Bi<strong>en</strong> estructuradas.<br />
• Servir <strong>de</strong> refer<strong>en</strong>cia.<br />
• Escritas.<br />
• Dadas a conocer.<br />
• Ent<strong>en</strong>didas por los usuarios.<br />
• Firmadas por los usuarios.<br />
• Mant<strong>en</strong>erse actualizadas.<br />
• Estar redactadas <strong>de</strong> manera positiva.<br />
• Homogéneas al emplear los términos.<br />
• Consi<strong>de</strong>rar a todo el personal.<br />
Las políticas son parte fundam<strong>en</strong>tal <strong>de</strong> cualquier esquema <strong>de</strong> <strong>seguridad</strong> efici<strong>en</strong>te. Como<br />
administradores, minimizan los riesgos, y permit<strong>en</strong> actuar <strong>de</strong> manera rápida y acertada<br />
<strong>en</strong> caso <strong>de</strong> haber una emerg<strong>en</strong>cia <strong>de</strong> <strong>cómputo</strong>. Como usuarios, indican <strong>la</strong> manera<br />
a<strong>de</strong>cuada <strong>de</strong> usar un sistema, indicando lo que pue<strong>de</strong> hacerse y lo que <strong>de</strong>be evitarse <strong>en</strong><br />
un sistema <strong>de</strong> <strong>cómputo</strong>, contribuy<strong>en</strong>do a que no seamos “malos vecinos” <strong>de</strong> <strong>la</strong> red sin<br />
saberlo. El t<strong>en</strong>er un esquema <strong>de</strong> políticas facilita gran<strong>de</strong>m<strong>en</strong>te <strong>la</strong> introducción <strong>de</strong> nuevo<br />
personal, t<strong>en</strong>i<strong>en</strong>do ya una base escrita y c<strong>la</strong>ra <strong>para</strong> capacitación; dan una imag<strong>en</strong><br />
profesional a <strong>la</strong> organización y facilitan una auditoría.<br />
Los principales puntos que <strong>de</strong>b<strong>en</strong> cont<strong>en</strong>er <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong> son los sigui<strong>en</strong>tes:<br />
• Ámbito <strong>de</strong> aplicación.<br />
• Análisis <strong>de</strong> riesgos.<br />
• Enunciados <strong>de</strong> políticas.<br />
• Sanciones.<br />
• Sección <strong>de</strong> uso ético <strong>de</strong> los recursos <strong>de</strong> <strong>cómputo</strong>.<br />
• Sección <strong>de</strong> procedimi<strong>en</strong>tos <strong>para</strong> el manejo <strong>de</strong> inci<strong>de</strong>ntes.<br />
• Glosario <strong>de</strong> términos.<br />
Al diseñar un esquema <strong>de</strong> políticas <strong>de</strong> <strong>seguridad</strong>, convi<strong>en</strong>e que se divida el trabajo <strong>en</strong><br />
difer<strong>en</strong>tes políticas <strong>de</strong> tópico específico: cu<strong>en</strong>tas, contraseñas, control <strong>de</strong> acceso, uso<br />
a<strong>de</strong>cuado, respaldos, correo electrónico, contabilidad <strong>de</strong>l sistema, <strong>seguridad</strong> física,<br />
etcétera.<br />
7
Seguridad <strong>en</strong> <strong>cómputo</strong><br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Es un conjunto <strong>de</strong> recursos <strong>de</strong>stinados a lograr que los activos <strong>de</strong> <strong>cómputo</strong> <strong>de</strong> una<br />
organización sean confi<strong>de</strong>nciales, íntegros, consist<strong>en</strong>tes y disponibles <strong>para</strong> sus usuarios,<br />
aut<strong>en</strong>ticados por mecanismos <strong>de</strong> control <strong>de</strong> acceso y sujetos a auditoría.<br />
Confi<strong>de</strong>ncial. La información <strong>de</strong>be ser leída por su propietario o por algui<strong>en</strong><br />
explícitam<strong>en</strong>te autorizado <strong>para</strong> hacerlo.<br />
Íntegro. La información es protegida <strong>de</strong> cualquier tipo <strong>de</strong> alteración o<br />
modificación por parte <strong>de</strong> algui<strong>en</strong> que carezca <strong>de</strong> autorización <strong>para</strong> hacerlo<br />
Consist<strong>en</strong>te. El sistema, al igual que los datos, <strong>de</strong>be comportarse como uno<br />
espera que lo haga.<br />
Disponible. La información <strong>de</strong>be estar siempre disponible <strong>en</strong> el lugar, día y<br />
cantidad <strong>de</strong> tiempo requeridos cuando se requiera o necesite.<br />
Aut<strong>en</strong>ticado. Únicam<strong>en</strong>te <strong>de</strong>b<strong>en</strong> ingresar al sistema personas autorizadas<br />
siempre y cuando comprueb<strong>en</strong> que son usuarios legítimos.<br />
Control <strong>de</strong> acceso. El acceso es restringido, es <strong>de</strong>cir sólo personal autorizado<br />
pue<strong>de</strong> estar <strong>en</strong> ciertos lugares, ciertos días, a ciertas horas <strong>de</strong>p<strong>en</strong>di<strong>en</strong>do <strong>de</strong> su<br />
cargo y responsabilida<strong>de</strong>s, ya que <strong>de</strong>be conocerse <strong>en</strong> todo mom<strong>en</strong>to quién <strong>en</strong>tra<br />
al sistema y <strong>de</strong> dón<strong>de</strong> proce<strong>de</strong>.<br />
Auditoría. Es una función necesaria ya que mediante ésta se pue<strong>de</strong> hacer un<br />
seguimi<strong>en</strong>to <strong>de</strong> cómo es que los equipos se comportan <strong>de</strong> acuerdo con <strong>la</strong>s<br />
políticas, son necesarias al ocurrir un inci<strong>de</strong>nte pues permit<strong>en</strong> conocer <strong>en</strong> cada<br />
mom<strong>en</strong>to <strong>la</strong>s activida<strong>de</strong>s <strong>de</strong> los usuarios <strong>de</strong>ntro <strong>de</strong>l sistema, analizar<strong>la</strong>s y diseñar<br />
e implem<strong>en</strong>tar p<strong>la</strong>nes <strong>de</strong> conting<strong>en</strong>cia.<br />
Las políticas <strong>de</strong>l pres<strong>en</strong>te docum<strong>en</strong>to ti<strong>en</strong><strong>en</strong> como alcance a <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería <strong>de</strong><br />
<strong>la</strong> UNAM.<br />
8
Factores críticos<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Es fundam<strong>en</strong>tal <strong>para</strong> el éxito <strong>de</strong> un esquema <strong>de</strong> <strong>seguridad</strong> hacer énfasis <strong>en</strong> el apoyo por<br />
parte <strong>de</strong> <strong>la</strong> g<strong>en</strong>te con el po<strong>de</strong>r <strong>de</strong> <strong>de</strong>cisión (cuerpo directivo), ya que sin él, algunos<br />
elem<strong>en</strong>tos <strong>de</strong> dicho esquema serían inválidos. Así mismo es vital mant<strong>en</strong>er <strong>en</strong><br />
constante capacitación al personal mediante cursos, seminarios, congresos, etcétera. La<br />
mejor <strong>de</strong>f<strong>en</strong>sa es el conocimi<strong>en</strong>to. Los usuarios <strong>de</strong>b<strong>en</strong> conocer el uso a<strong>de</strong>cuado <strong>de</strong> los<br />
sistemas <strong>de</strong> <strong>cómputo</strong> y saber cómo protegerse a sí mismos <strong>de</strong> activida<strong>de</strong>s ilícitas. Debe<br />
crearse una cultura <strong>de</strong> <strong>seguridad</strong>, haci<strong>en</strong>do ver a <strong>la</strong> g<strong>en</strong>te involucrada los peligros a los<br />
que se está expuesto <strong>en</strong> un ambi<strong>en</strong>te tan hostil como el que ha g<strong>en</strong>erado <strong>la</strong> evolución <strong>de</strong><br />
<strong>la</strong>s actuales re<strong>de</strong>s <strong>de</strong> datos.<br />
Filosofía <strong>de</strong> políticas <strong>de</strong> <strong>seguridad</strong><br />
La filosofía que se seguirá <strong>para</strong> redactar <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong> será prohibitiva, es<br />
<strong>de</strong>cir “Todo está prohibido a excepción <strong>de</strong> lo que está específicam<strong>en</strong>te permitido”.<br />
9
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Comité asesor <strong>de</strong> <strong>cómputo</strong> <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería 1<br />
El Comité Asesor <strong>de</strong> Cómputo (CACFI), es el órgano conformado por repres<strong>en</strong>tantes <strong>de</strong><br />
todas <strong>la</strong>s áreas que conforman <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería cuyo objetivo es el <strong>de</strong> promover<br />
y asesorar el óptimo <strong>de</strong>sarrollo informático, es <strong>de</strong>cir buscar el conjuntar los esfuerzos <strong>de</strong><br />
<strong>la</strong>s difer<strong>en</strong>tes áreas que conforman <strong>la</strong> <strong>Facultad</strong> <strong>para</strong> lograr un <strong>de</strong>sarrollo integral <strong>en</strong><br />
temas <strong>de</strong> computación, procurar <strong>la</strong> normatividad, <strong>la</strong> estandarización y <strong>en</strong> g<strong>en</strong>eral,<br />
buscar mecanismos <strong>de</strong> racionalización y optimización <strong>en</strong> materia <strong>de</strong> <strong>cómputo</strong>.<br />
El CACFI ti<strong>en</strong>e <strong>la</strong>s sigui<strong>en</strong>tes funciones:<br />
Verificar el cumplimi<strong>en</strong>to <strong>de</strong> <strong>la</strong>s políticas y normativida<strong>de</strong>s dictadas por el<br />
Consejo Asesor <strong>de</strong> Cómputo <strong>de</strong> <strong>la</strong> UNAM, así como <strong>la</strong> difusión <strong>de</strong> nuevas<br />
disposiciones <strong>en</strong> temas sobre computación y tópicos re<strong>la</strong>cionados con éste.<br />
Constituir un foro <strong>de</strong> discusión sobre los distintos aspectos <strong>de</strong> <strong>la</strong> problemática <strong>de</strong><br />
Cómputo <strong>en</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Participar <strong>en</strong> los p<strong>la</strong>nes <strong>de</strong> <strong>de</strong>sarrollo que <strong>de</strong> manera integral involucr<strong>en</strong> a <strong>la</strong><br />
computación y sus disciplinas afines, tales como <strong>la</strong> informática, <strong>la</strong>s<br />
telecomunicaciones y <strong>la</strong> electrónica.<br />
Asesorar a <strong>la</strong> Dirección <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>en</strong> el establecimi<strong>en</strong>to <strong>de</strong> políticas <strong>de</strong><br />
adquisición y mant<strong>en</strong>imi<strong>en</strong>to <strong>de</strong> equipo <strong>de</strong> <strong>cómputo</strong> que permitan optimizar el<br />
aprovechami<strong>en</strong>to <strong>de</strong> los recursos disponibles.<br />
Promover <strong>la</strong> cultura informática <strong>en</strong> todo el ámbito <strong>de</strong> <strong>la</strong> <strong>Facultad</strong>.<br />
1 http://www.ing<strong>en</strong>ieria.unam.mx/cacfi/docum<strong>en</strong>tos/art_comite.pdf, 2009<br />
10
Mtro. José Gonzalo Guerrero Zepeda<br />
Director <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería<br />
Dr. Francisco Javier García Ugal<strong>de</strong><br />
Secretario <strong>de</strong>l Comité Asesor <strong>de</strong><br />
Cómputo<br />
Ing. Rafael Sandoval Vázquez<br />
Secretaría G<strong>en</strong>eral<br />
M.C. Eduardo Espinosa Ávi<strong>la</strong><br />
Secretaría Administrativa<br />
Ing. Jorge Ontiveros Junco<br />
Secretaría <strong>de</strong> Servicios Académicos<br />
M.I. Gerardo Avilés Rosas<br />
Secretaría <strong>de</strong> Apoyo a <strong>la</strong> Doc<strong>en</strong>cia<br />
Ing. Luis <strong>de</strong>l Olmo Dacosta<br />
Secretaría <strong>de</strong> Posgrado e Investigación<br />
Ing. Dafne Abad Martínez<br />
Coordinación <strong>de</strong> P<strong>la</strong>neación y<br />
Desarrollo<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Integrantes <strong>de</strong>l CACFI 2<br />
2 http://www.ing<strong>en</strong>ieria.unam.mx/cacfi/docum<strong>en</strong>tos/art_comite.pdf<br />
Lic. José Luis Camacho Calva<br />
Coordinación <strong>de</strong> Vincu<strong>la</strong>ción<br />
Productiva y Social<br />
Ing. Carlos Rodríguez Oliva<br />
División <strong>de</strong> Educación Continua y a<br />
Distancia<br />
M.C. Alejandro Velázquez M<strong>en</strong>a<br />
División <strong>de</strong> Ing<strong>en</strong>iería Eléctrica<br />
Ing. Tanya Itzel Arteaga Ricci<br />
División <strong>de</strong> Ing<strong>en</strong>ierías Civil y<br />
Geomática<br />
Ing. Socorro Arm<strong>en</strong>ta Servín<br />
División <strong>de</strong> Ing<strong>en</strong>iería Mecánica e<br />
Industrial<br />
Ing. José Luis Hernán<strong>de</strong>z Ramírez<br />
División <strong>de</strong> Ing<strong>en</strong>iería <strong>en</strong> Ci<strong>en</strong>cias <strong>de</strong> <strong>la</strong><br />
Tierra<br />
M.I. Janete Mejía Jiménez<br />
División <strong>de</strong> Ci<strong>en</strong>cias Básicas<br />
Ing. Guadalupe Dalia García Gálvez<br />
División <strong>de</strong> Ci<strong>en</strong>cias Sociales y<br />
Humanida<strong>de</strong>s<br />
11
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Departam<strong>en</strong>to <strong>de</strong> Seguridad <strong>en</strong> Cómputo <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería<br />
El Departam<strong>en</strong>to <strong>de</strong> Seguridad <strong>en</strong> Cómputo <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería DSCFI es un<br />
organismo in<strong>de</strong>p<strong>en</strong>di<strong>en</strong>te <strong>en</strong>cargado <strong>de</strong> brindar apoyo, asesoría, y diversos servicios<br />
como son auditorias, apoyo <strong>para</strong> <strong>la</strong> configuración <strong>de</strong> equipos y sistemas, análisis<br />
for<strong>en</strong>ses, respuesta a inci<strong>de</strong>ntes, <strong>en</strong>tre otros.<br />
Este organismo es in<strong>de</strong>p<strong>en</strong>di<strong>en</strong>te e imparcial con el objetivo <strong>de</strong> po<strong>de</strong>r realizar este<br />
trabajo con profesionalismo y ética <strong>de</strong> tal forma que pueda <strong>de</strong>sarrol<strong>la</strong>r activida<strong>de</strong>s<br />
asociadas con <strong>la</strong> <strong>seguridad</strong> informática don<strong>de</strong> <strong>en</strong> ocasiones es necesario el realizar<br />
investigaciones sobre inci<strong>de</strong>ntes, auditorias a equipos, recuperación <strong>de</strong> información,<br />
etcétera, don<strong>de</strong> <strong>en</strong> ocasiones es necesario el revisar información pert<strong>en</strong>eci<strong>en</strong>te a los<br />
usuarios <strong>la</strong> cual se maneja bajo estrictas normas <strong>de</strong> ética y discreción.<br />
Algunas <strong>de</strong> <strong>la</strong>s responsabilida<strong>de</strong>s <strong>de</strong> este <strong>de</strong>partam<strong>en</strong>to es el brindar y establecer un alto<br />
nivel <strong>de</strong> <strong>seguridad</strong> informática a <strong>la</strong>s re<strong>de</strong>s <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería, <strong>la</strong> respuesta a<br />
inci<strong>de</strong>ntes que puedan afectar el tráfico <strong>en</strong> <strong>la</strong>s re<strong>de</strong>s, minimizar los inci<strong>de</strong>ntes <strong>de</strong><br />
<strong>seguridad</strong> informática <strong>de</strong>ntro <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
3 http://132.248.54.45/unica/organizacion/dsc.jsp<br />
Ing. Rafael Sandoval Vázquez<br />
Jefe <strong>de</strong>l Departam<strong>en</strong>to <strong>de</strong> Seguridad En Cómputo 3<br />
12
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Sección <strong>de</strong> <strong>Políticas</strong><br />
13
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Responsabilida<strong>de</strong>s <strong>de</strong>l usuario<br />
La comunidad que conforma <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería ti<strong>en</strong>e como responsabilidad el<br />
hacer bu<strong>en</strong> uso <strong>de</strong> los recursos informáticos, <strong>de</strong> <strong>la</strong>s insta<strong>la</strong>ciones y <strong>de</strong> todo tipo <strong>de</strong><br />
información que se les confía. El que los usuarios se manej<strong>en</strong> <strong>de</strong> una forma responsable,<br />
digna, ética y respetuosa <strong>en</strong> todo mom<strong>en</strong>to es una prioridad y un objetivo que <strong>la</strong><br />
<strong>Facultad</strong> promueve mediante <strong>la</strong> impartición <strong>de</strong> <strong>la</strong>s materias <strong>de</strong> humanida<strong>de</strong>s así como <strong>de</strong><br />
otras activida<strong>de</strong>s.<br />
Es por esto que <strong>en</strong> todo mom<strong>en</strong>to los usuarios que pert<strong>en</strong>ec<strong>en</strong> a esta comunidad, aun<br />
cuando <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong> cont<strong>en</strong>idas <strong>en</strong> este docum<strong>en</strong>to no cont<strong>en</strong>gan o hagan<br />
omisión <strong>de</strong> alguna normatividad o manera <strong>de</strong> conducirse, se sabe que estos a través <strong>de</strong><br />
difer<strong>en</strong>tes acciones como son el navegar <strong>en</strong> internet, el <strong>en</strong>vío <strong>de</strong> m<strong>en</strong>sajes <strong>de</strong> cualquier<br />
c<strong>la</strong>se, el usar todo tipo <strong>de</strong> equipos, el <strong>de</strong>sarrollo académico, su manera y modo <strong>de</strong><br />
conducirse o cualquier otro tipo <strong>de</strong> actividad que se <strong>de</strong>sarroll<strong>en</strong> están repres<strong>en</strong>tando a <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería y a <strong>la</strong> UNAM.<br />
Por lo anterior es necesario el t<strong>en</strong>er <strong>en</strong> m<strong>en</strong>te que <strong>la</strong> <strong>seguridad</strong> informática empieza por<br />
cada uno <strong>de</strong> los que pert<strong>en</strong>ec<strong>en</strong> a esta comunidad, los cuales son dignos repres<strong>en</strong>tantes<br />
<strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería que es parte <strong>de</strong> <strong>la</strong> máxima casa <strong>de</strong> estudios <strong>de</strong> este país y<br />
que todo tipo <strong>de</strong> acciones o activida<strong>de</strong>s que se <strong>de</strong>sarroll<strong>en</strong> son a su vez reflejo <strong>de</strong> esta<br />
institución.<br />
Los docum<strong>en</strong>tos pres<strong>en</strong>tados son <strong>la</strong>s políticas <strong>de</strong> alcance institucional que permite crear<br />
y establecer una filosofía sobre <strong>la</strong> postura que <strong>en</strong> materia <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>de</strong>be<br />
t<strong>en</strong>er <strong>la</strong> institución respecto a los riesgos que <strong>la</strong> ro<strong>de</strong>an.<br />
Estas <strong>de</strong>fin<strong>en</strong> ciertos lineami<strong>en</strong>tos que establec<strong>en</strong> un límite <strong>en</strong>tre lo que está permitido a<br />
los usuarios <strong>de</strong>ntro <strong>de</strong> <strong>la</strong> institución y fuera <strong>de</strong> el<strong>la</strong> así como lo que se <strong>en</strong>cu<strong>en</strong>tra<br />
prohibido, esto es con el propósito <strong>de</strong> proteger los equipos <strong>de</strong> <strong>cómputo</strong>, <strong>la</strong>s activida<strong>de</strong>s<br />
así como <strong>la</strong> información almac<strong>en</strong>ada <strong>en</strong> los sistemas y su acceso. Para ello, se consi<strong>de</strong>ra<br />
el principio básico <strong>de</strong> <strong>seguridad</strong> es:<br />
"Lo que no se permite expresam<strong>en</strong>te, está prohibido"<br />
Por lo anterior es responsabilidad <strong>de</strong> toda <strong>la</strong> comunidad que conforma <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería el revisar y cumplir con <strong>la</strong>s políticas ya que mediante estas se busca el hacer<br />
un mejor y más efici<strong>en</strong>te uso <strong>de</strong> los recursos con los que se cu<strong>en</strong>tan, no obstante <strong>en</strong> el<br />
caso <strong>de</strong> incumplimi<strong>en</strong>to <strong>de</strong> <strong>la</strong>s mismas pue<strong>de</strong> resultar <strong>en</strong> una acción disciplinaría.<br />
14
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE SEGURIDAD FÍSICA<br />
El primer paso a consi<strong>de</strong>rar <strong>en</strong> un esquema <strong>de</strong> <strong>seguridad</strong> que muchas veces carece <strong>de</strong> <strong>la</strong><br />
sufici<strong>en</strong>te at<strong>en</strong>ción, es <strong>la</strong> <strong>seguridad</strong> física; es <strong>de</strong>cir <strong>la</strong>s medidas que se usan <strong>para</strong> proteger<br />
<strong>la</strong>s insta<strong>la</strong>ciones <strong>en</strong> <strong>la</strong>s que resi<strong>de</strong> un sistema <strong>de</strong> <strong>cómputo</strong>: l<strong>la</strong>ves, candados, tarjetas <strong>de</strong><br />
acceso, puertas, v<strong>en</strong>tanas, a<strong>la</strong>rmas, vigi<strong>la</strong>ncia, etcétera.<br />
<strong>Políticas</strong>:<br />
Mant<strong>en</strong>er el equipo <strong>de</strong> <strong>cómputo</strong> alejado <strong>de</strong> cualquier tipo <strong>de</strong> ag<strong>en</strong>te que pueda<br />
causar cualquier tipo daño o interfiera con su r<strong>en</strong>dimi<strong>en</strong>to como son, el fuego,<br />
humo, polvo, temperaturas extremas, rayos so<strong>la</strong>res, vibraciones, insectos, ruido<br />
eléctrico, ba<strong>la</strong>stras, equipo industrial, <strong>de</strong>l agua, etcétera.<br />
Todos los servidores <strong>de</strong>berán ubicarse <strong>en</strong> lugares <strong>de</strong> acceso físico restringido y<br />
<strong>de</strong>b<strong>en</strong> contar, <strong>para</strong> acce<strong>de</strong>r a ellos, con puertas con chapas.<br />
El lugar don<strong>de</strong> se instal<strong>en</strong> los servidores <strong>de</strong>b<strong>en</strong> contar con una insta<strong>la</strong>ción<br />
eléctrica a<strong>de</strong>cuada, <strong>en</strong>tre sus características <strong>de</strong>b<strong>en</strong> contar con tierra física y<br />
sistemas <strong>de</strong> alim<strong>en</strong>tación ininterrumpida o <strong>de</strong> emerg<strong>en</strong>cia, UPS (Uninterruptible<br />
power supply).<br />
Las áreas don<strong>de</strong> se <strong>en</strong>cu<strong>en</strong>tra el equipo <strong>de</strong> <strong>cómputo</strong> estarán libres <strong>de</strong> cualquier<br />
tipo <strong>de</strong> productos que pueda causar algún daño.<br />
El área don<strong>de</strong> se <strong>en</strong>cu<strong>en</strong>tr<strong>en</strong> los servidores <strong>de</strong>berá estar <strong>en</strong> condiciones <strong>de</strong><br />
higi<strong>en</strong>e, es <strong>de</strong>cir <strong>de</strong>berá estar libre <strong>de</strong> objetos aj<strong>en</strong>os y <strong>de</strong> acuerdo con los<br />
estándares <strong>de</strong>l cableado estructurado. Deberá conservarse limpio, organizado, y<br />
<strong>de</strong>spejado <strong>de</strong> objetos extraños o aj<strong>en</strong>os <strong>para</strong> el uso al cual está <strong>de</strong>stinada esta<br />
área.<br />
Debe contarse con extintores <strong>en</strong> <strong>la</strong>s sa<strong>la</strong>s <strong>de</strong> <strong>cómputo</strong> y el personal <strong>de</strong>be estar<br />
capacitado <strong>en</strong> el uso <strong>de</strong> éstos.<br />
Las sa<strong>la</strong>s <strong>de</strong> <strong>cómputo</strong> <strong>de</strong>be contar con una salida <strong>de</strong> emerg<strong>en</strong>cia.<br />
15
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE REGLAMENTOS INTERNOS<br />
La diversidad <strong>de</strong> activida<strong>de</strong>s, tareas, y trabajos <strong>en</strong> <strong>la</strong> facultad requier<strong>en</strong> que los distintos<br />
<strong>de</strong>partam<strong>en</strong>tos, áreas, <strong>la</strong>boratorios y zonas <strong>de</strong> trabajo posean cierta flexibilidad por lo<br />
que <strong>la</strong>s políticas pres<strong>en</strong>tadas a continuación ti<strong>en</strong><strong>en</strong> el objetivo <strong>de</strong> regu<strong>la</strong>r y ratificar el<br />
uso <strong>de</strong> reg<strong>la</strong>m<strong>en</strong>tos internos.<br />
<strong>Políticas</strong>:<br />
Los <strong>de</strong>partam<strong>en</strong>tos, áreas, <strong>la</strong>boratorios y áreas que requieran <strong>de</strong>sarrol<strong>la</strong>r normas,<br />
reg<strong>la</strong>m<strong>en</strong>tos internos o políticas <strong>de</strong> <strong>seguridad</strong> informática adicionales o<br />
complem<strong>en</strong>tarias a <strong>la</strong>s políticas cont<strong>en</strong>idas <strong>en</strong> este docum<strong>en</strong>to son respaldadas<br />
por el DSC y el CACFI.<br />
Los reg<strong>la</strong>m<strong>en</strong>tos, normativida<strong>de</strong>s, y políticas <strong>de</strong>b<strong>en</strong> buscar, perseguir y t<strong>en</strong>er los<br />
mismos objetivos y metas que <strong>la</strong>s <strong>Políticas</strong> <strong>de</strong> Seguridad <strong>en</strong> Cómputo (PSC-FI).<br />
En caso <strong>de</strong> pres<strong>en</strong>tarse alguna discrepancia el CACFI estudiará el caso y<br />
pres<strong>en</strong>tará una resolución a esta a <strong>la</strong> brevedad posible.<br />
16
POLÍTICAS DE CUENTAS<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Establec<strong>en</strong> qué es una cu<strong>en</strong>ta <strong>de</strong> usuario, <strong>de</strong> un sistema <strong>de</strong> <strong>cómputo</strong>, cómo está<br />
conformada, a quién pue<strong>de</strong> serle otorgada, quién es el <strong>en</strong>cargado <strong>de</strong> asignar<strong>la</strong>s, cómo<br />
<strong>de</strong>b<strong>en</strong> ser creadas y comunicadas.<br />
<strong>Políticas</strong>:<br />
Las cu<strong>en</strong>tas <strong>de</strong>b<strong>en</strong> ser otorgadas exclusivam<strong>en</strong>te a usuarios autorizados. Se<br />
consi<strong>de</strong>ran usuarios autorizados a aquellos usuarios qui<strong>en</strong>es hayan realizado su<br />
trámite <strong>de</strong> registro <strong>de</strong> cu<strong>en</strong>ta y que:<br />
1. Sean miembros vig<strong>en</strong>tes <strong>de</strong> <strong>la</strong> comunidad <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
2. Particip<strong>en</strong> <strong>en</strong> proyectos especiales y t<strong>en</strong>ga <strong>la</strong> autorización <strong>de</strong>l jefe inmediato<br />
o el jefe <strong>de</strong>l proyecto.<br />
Una cu<strong>en</strong>ta <strong>de</strong>berá estar conformada por un nombre <strong>de</strong> usuario y su respectiva<br />
contraseña.<br />
La asignación <strong>de</strong> <strong>la</strong>s cu<strong>en</strong>tas <strong>la</strong> hará el administrador <strong>de</strong>l área o <strong>de</strong>partam<strong>en</strong>to <strong>en</strong><br />
cuestión y al usuario sólo le da <strong>de</strong>recho <strong>de</strong> acce<strong>de</strong>r a los recursos <strong>de</strong>stinados<br />
<strong>de</strong>p<strong>en</strong>di<strong>en</strong>do <strong>de</strong> sus activida<strong>de</strong>s, cargos, y tareas a realizar <strong>en</strong> dicho <strong>la</strong>boratorio o<br />
área <strong>de</strong> trabajo.<br />
El administrador <strong>de</strong>be <strong>de</strong>shabilitar <strong>la</strong>s cu<strong>en</strong>tas inactivas.<br />
Las cu<strong>en</strong>tas y contraseñas son personales e intransferibles.<br />
17
POLÍTICAS DE CONTRASEÑAS<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Son una <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong> tópico específico más importantes, ya que por lo g<strong>en</strong>eral, <strong>la</strong>s<br />
contraseñas constituy<strong>en</strong> <strong>la</strong> primera y tal vez única manera <strong>de</strong> aut<strong>en</strong>ticación y, por tanto,<br />
<strong>la</strong> única línea <strong>de</strong> <strong>de</strong>f<strong>en</strong>sa contra ataques. Éstas establec<strong>en</strong> quién asignará <strong>la</strong> contraseña,<br />
qué longitud <strong>de</strong>be t<strong>en</strong>er, a qué formato <strong>de</strong>berá apegarse, cómo será comunicada.<br />
<strong>Políticas</strong>:<br />
El administrador <strong>de</strong>l servidor es el responsable <strong>de</strong> <strong>la</strong> creación y administración<br />
<strong>de</strong> <strong>la</strong>s cu<strong>en</strong>tas, <strong>la</strong> activación y <strong>de</strong>sactivación <strong>de</strong> el<strong>la</strong>s según sea el caso y<br />
propósito <strong>de</strong> el<strong>la</strong>s. La contraseña <strong>de</strong>be cambiarse <strong>la</strong> primera vez que se utilice<br />
por el usuario.<br />
El administrador <strong>de</strong>be contar con herrami<strong>en</strong>tas <strong>de</strong> <strong>de</strong>tección <strong>de</strong> contraseña<br />
débiles.<br />
La longitud <strong>de</strong> una contraseña <strong>de</strong>be siempre ser verificada <strong>de</strong> manera automática<br />
al ser construida por el administrador/usuario. Todas <strong>la</strong>s contraseñas <strong>de</strong>b<strong>en</strong><br />
contar con al m<strong>en</strong>os seis caracteres.<br />
Todas <strong>la</strong>s contraseñas <strong>de</strong>b<strong>en</strong> ser robustas, es <strong>de</strong>cir, son contraseñas que<br />
conti<strong>en</strong><strong>en</strong> letras mayúscu<strong>la</strong>s, minúscu<strong>la</strong>s, números, así como caracteres<br />
especiales, evitando el uso <strong>de</strong> pa<strong>la</strong>bras <strong>en</strong> cualquier idioma. Debe consi<strong>de</strong>rar que<br />
el uso <strong>de</strong> información personal es peligroso por lo cual se recomi<strong>en</strong>da evitar el<br />
uso <strong>de</strong> datos personales. La contraseña <strong>de</strong>be t<strong>en</strong>er una longitud mínima <strong>de</strong> 6<br />
caracteres y que ésta sea cambiada periódicam<strong>en</strong>te por lo m<strong>en</strong>os cada 6 meses,<br />
evitando repetir contraseñas ya utilizadas <strong>en</strong> alguna cu<strong>en</strong>ta.<br />
Todas <strong>la</strong>s contraseñas elegidas por los usuarios <strong>de</strong>b<strong>en</strong> evitar utilizar pa<strong>la</strong>bras que<br />
aparezcan <strong>en</strong> el diccionario <strong>de</strong> cualquier idioma, secu<strong>en</strong>cias conocidas <strong>de</strong><br />
caracteres, datos personales ni acrónimos.<br />
Los usuarios <strong>de</strong>b<strong>en</strong> evitar <strong>la</strong> construcción <strong>de</strong> contraseñas compuestas <strong>de</strong> algunos<br />
caracteres constantes y otros que cambi<strong>en</strong> <strong>de</strong> manera pre<strong>de</strong>cible y sean fáciles <strong>de</strong><br />
adivinar.<br />
Las contraseñas que los usuarios construyan <strong>de</strong>b<strong>en</strong> ser totalm<strong>en</strong>te difer<strong>en</strong>tes a <strong>la</strong>s<br />
contraseñas anteriores o a <strong>la</strong>s <strong>de</strong> otros usuarios.<br />
La comunicación <strong>de</strong> <strong>la</strong> contraseña se realizará <strong>de</strong> manera personal vía el<br />
administrador, y sin intermediarios <strong>en</strong>tre el administrador y el interesado.<br />
Las contraseñas <strong>de</strong>b<strong>en</strong> ser <strong>en</strong>tregadas <strong>de</strong> manera personal, por lo que el<br />
interesado <strong>de</strong>be pres<strong>en</strong>tarse <strong>en</strong> el <strong>la</strong>boratorio o lugar <strong>de</strong> trabajo <strong>para</strong> <strong>la</strong><br />
18
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
asignación <strong>de</strong> ésta aut<strong>en</strong>ticando su i<strong>de</strong>ntidad ante el responsable antes <strong>de</strong><br />
<strong>en</strong>tregarle su contraseña.<br />
Las contraseñas <strong>de</strong>b<strong>en</strong> cambiarse periódicam<strong>en</strong>te cada seis meses. El<br />
administrador <strong>de</strong>be contar con algún sistema el cual pueda evaluar <strong>la</strong> situación<br />
<strong>de</strong> <strong>la</strong> contraseña con <strong>la</strong> finalidad <strong>de</strong> que el usuario conserve su <strong>de</strong>recho a <strong>la</strong><br />
privacidad y <strong>de</strong> esta manera hacer que el usuario cambie y respete <strong>la</strong>s políticas;<br />
el sistema también ti<strong>en</strong>e que cifrar el historial <strong>de</strong> contraseñas <strong>de</strong>l usuario, el cual<br />
guardará <strong>la</strong>s ultimas 6 contraseñas con <strong>la</strong> finalidad <strong>de</strong> conservar <strong>la</strong> integridad <strong>de</strong><br />
los datos cont<strong>en</strong>idos, <strong>en</strong> este caso <strong>la</strong>s contraseñas.<br />
Véase también el apartado <strong>de</strong> gestión <strong>de</strong> contraseñas.<br />
19
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE CONTROL DE ACCESO<br />
Especifican cómo <strong>de</strong>b<strong>en</strong> los usuarios acce<strong>de</strong>r al sistema, <strong>de</strong>s<strong>de</strong> dón<strong>de</strong> y <strong>de</strong> qué manera<br />
<strong>de</strong>b<strong>en</strong> aut<strong>en</strong>ticarse.<br />
<strong>Políticas</strong>:<br />
Todos los equipos que <strong>de</strong>n un servicio <strong>de</strong> acceso remoto <strong>de</strong>b<strong>en</strong> contar con<br />
aplicaciones que permitan una comunicación segura y cifrada.<br />
Todos los usuarios <strong>de</strong>b<strong>en</strong> aut<strong>en</strong>ticarse y hacer uso sólo <strong>de</strong> su cu<strong>en</strong>ta.<br />
Será sancionada <strong>la</strong> persona que acceda al sistema con una cu<strong>en</strong>ta difer<strong>en</strong>te <strong>de</strong> <strong>la</strong><br />
propia, aún con <strong>la</strong> autorización <strong>de</strong>l dueño <strong>de</strong> dicha cu<strong>en</strong>ta.<br />
Al mom<strong>en</strong>to <strong>de</strong> ingresar a cualquier sistema operativo (UNIX, Windows, Mac o<br />
algún otro), cada usuario <strong>de</strong>berá ser notificado <strong>de</strong> <strong>la</strong> fecha, hora y dirección IP<br />
<strong>de</strong>s<strong>de</strong> <strong>la</strong> que se conectó al sistema por última vez, lo cual permitirá <strong>de</strong>tectar si<br />
algui<strong>en</strong> más está haci<strong>en</strong>do uso <strong>de</strong>l sistema.<br />
El usuario t<strong>en</strong>drá el <strong>de</strong>recho a cambiar su contraseña. Ésta <strong>de</strong>be <strong>de</strong> ser robusta,<br />
es <strong>de</strong>cir, que cump<strong>la</strong> con <strong>la</strong>s sigui<strong>en</strong>tes características.<br />
T<strong>en</strong>er una ext<strong>en</strong>sión mínima <strong>de</strong> 6 caracteres<br />
Evitar el uso <strong>de</strong> datos personales o información privada, como fecha <strong>de</strong><br />
nacimi<strong>en</strong>to, nombres, apellidos, RFC, CURP, direcciones, números<br />
asociados al usuario como números telefónicos, numero <strong>de</strong> trabajador,<br />
número <strong>de</strong> cu<strong>en</strong>ta etcétera.<br />
Evitar el uso <strong>de</strong> pa<strong>la</strong>bras cont<strong>en</strong>idas <strong>en</strong> diccionarios <strong>de</strong> cualquier tipo,<br />
incluy<strong>en</strong>do otros idiomas.<br />
La contraseña <strong>de</strong>be usar combinaciones <strong>de</strong> letras, números y caracteres<br />
especiales.<br />
Evitar el uso <strong>de</strong> una so<strong>la</strong> contraseña <strong>para</strong> difer<strong>en</strong>tes cu<strong>en</strong>tas, es <strong>de</strong>cir usar una<br />
contraseña por cu<strong>en</strong>ta.<br />
Cambiar <strong>la</strong> contraseña al m<strong>en</strong>os cada 6 meses.<br />
El usuario podrá utilizar los servicios <strong>de</strong> sesiones remotas si se brinda.<br />
20
POLÍTICAS DE USO ADECUADO<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Las políticas <strong>de</strong> uso aceptable están basadas <strong>en</strong> <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>de</strong><br />
<strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería, estas especifican lo que se consi<strong>de</strong>ra un uso apropiado y<br />
correcto <strong>de</strong> los recursos que se asignan a <strong>la</strong> comunidad que forma parte <strong>de</strong> <strong>la</strong> <strong>Facultad</strong><br />
<strong>de</strong> Ing<strong>en</strong>iería.<br />
<strong>Políticas</strong>:<br />
Usuarios <strong>en</strong> g<strong>en</strong>eral:<br />
La ejecución y utilización <strong>de</strong> software o hardware, todo tipo <strong>de</strong> programas o<br />
herrami<strong>en</strong>tas que se ocup<strong>en</strong> <strong>para</strong> <strong>la</strong> obt<strong>en</strong>ción cualquier tipo <strong>de</strong> información<br />
como contraseñas, usuarios, información personal, vulnerabilida<strong>de</strong>s <strong>de</strong> los<br />
sistemas, configuración <strong>de</strong> los equipos, una c<strong>la</strong>ra vio<strong>la</strong>ción a estas políticas, por<br />
lo que <strong>la</strong> persona que lo haga será sancionada. (Ver POLÍTICAS DE<br />
CONTABILIDAD DEL SISTEMA).<br />
La cu<strong>en</strong>ta <strong>de</strong> un usuario es personal e intransferible, es <strong>de</strong>cir, el único autorizado<br />
<strong>para</strong> el uso <strong>de</strong> <strong>la</strong> cu<strong>en</strong>ta y los recursos es el dueño <strong>de</strong> dicha cu<strong>en</strong>ta <strong>la</strong> cual es<br />
intransferible.<br />
Es responsabilidad <strong>de</strong>l usuario el t<strong>en</strong>er una gestión apropiada <strong>de</strong> <strong>la</strong>s cu<strong>en</strong>tas que<br />
le son asignadas. (Ver apartado <strong>de</strong> gestión <strong>de</strong> contraseñas).<br />
La insta<strong>la</strong>ción <strong>de</strong> programas y software, <strong>en</strong> caso <strong>de</strong> requerirse <strong>de</strong>be ser solicitado<br />
al administrador <strong>de</strong>l sistema.<br />
El uso <strong>de</strong>l equipo es estrictam<strong>en</strong>te con fines académicos y/o investigación por lo<br />
que cualquier usuario que le dé algún otro uso como el lucro, ocio, <strong>de</strong>scarga <strong>de</strong><br />
música, imág<strong>en</strong>es, vi<strong>de</strong>os, chat, será sancionado.<br />
Alumnos:<br />
Pue<strong>de</strong>n realizar sus tareas con fines académicos y asociadas con los programas<br />
académicos <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Pue<strong>de</strong>n utilizar los servicios <strong>de</strong> Internet don<strong>de</strong> se brin<strong>de</strong>n siempre y cuando sólo<br />
se haga con fines académicos.<br />
Pue<strong>de</strong>n utilizar software <strong>de</strong> aplicación ya insta<strong>la</strong>do.<br />
21
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Pue<strong>de</strong>n utilizar los servicios <strong>de</strong> impresión don<strong>de</strong> se brin<strong>de</strong>n.<br />
Académicos, Investigadores y Administrativos:<br />
Pue<strong>de</strong>n utilizar el equipo <strong>de</strong> <strong>cómputo</strong> asignado <strong>para</strong> realizar <strong>la</strong>s activida<strong>de</strong>s y<br />
funciones explícitam<strong>en</strong>te <strong>de</strong>finidas con base <strong>en</strong> su nombrami<strong>en</strong>to.<br />
El Departam<strong>en</strong>to <strong>de</strong> Seguridad <strong>en</strong> Cómputo <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería<br />
(DSCFI), y <strong>la</strong>s áreas <strong>de</strong> Investigación <strong>de</strong> Seguridad <strong>en</strong> Cómputo <strong>de</strong> <strong>la</strong> <strong>Facultad</strong><br />
<strong>de</strong> Ing<strong>en</strong>iería (AISCFI), son <strong>la</strong>s autorizadas por el CACFI, <strong>para</strong> <strong>la</strong> realización<br />
pruebas e investigación <strong>en</strong> <strong>seguridad</strong> informática, <strong>en</strong> ambi<strong>en</strong>tes contro<strong>la</strong>dos. El<br />
DSCFI y <strong>la</strong>s AISCFI <strong>de</strong>b<strong>en</strong> solicitar permiso e informar <strong>de</strong> dichas pruebas al<br />
CACFI, <strong>para</strong> programar el tipo, lugar, fecha y hora <strong>de</strong> estas. Como requisito<br />
<strong>de</strong>b<strong>en</strong> llevarse a cabo <strong>en</strong> lugares ais<strong>la</strong>dos (re<strong>de</strong>s internas), con <strong>la</strong> finalidad <strong>de</strong><br />
evitar comprometer <strong>la</strong> operación <strong>de</strong> otras áreas.<br />
El <strong>en</strong>vío y almac<strong>en</strong>ami<strong>en</strong>to <strong>de</strong> todo tipo <strong>de</strong> información s<strong>en</strong>sible o <strong>de</strong> carácter<br />
confi<strong>de</strong>ncial <strong>de</strong>be contar con <strong>la</strong>s medidas apropiadas <strong>de</strong> <strong>seguridad</strong> <strong>para</strong> su<br />
protección.<br />
22
POLÍTICAS DE RESPALDOS<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Especifican <strong>la</strong> responsabilidad que ti<strong>en</strong><strong>en</strong> los usuarios sobre él manejo <strong>de</strong> <strong>la</strong> información<br />
<strong>de</strong> <strong>la</strong> que son responsables según sean su caso.<br />
<strong>Políticas</strong>:<br />
Usuarios <strong>en</strong> g<strong>en</strong>eral:<br />
Es responsabilidad <strong>de</strong>l usuario mant<strong>en</strong>er una copia <strong>de</strong> <strong>la</strong> información <strong>de</strong> su<br />
cu<strong>en</strong>ta.<br />
Administradores:<br />
El administrador <strong>de</strong>l sistema es el responsable <strong>de</strong> realizar respaldos <strong>de</strong> <strong>la</strong><br />
información crítica. Cada treinta días <strong>de</strong>be efectuarse un respaldo completo <strong>de</strong>l<br />
sistema y verificar que se haya realizado correctam<strong>en</strong>te.<br />
El administrador <strong>de</strong>l sistema es el responsable <strong>de</strong> restaurar <strong>la</strong> información.<br />
La información respaldada <strong>de</strong>be cifrarse y almac<strong>en</strong>arse <strong>en</strong> un lugar seguro.<br />
Debe mant<strong>en</strong>erse una versión reci<strong>en</strong>te <strong>de</strong> los archivos más importantes <strong>de</strong>l<br />
sistema.<br />
En el mom<strong>en</strong>to <strong>en</strong> que <strong>la</strong> información respaldada <strong>de</strong>je <strong>de</strong> ser útil a <strong>la</strong><br />
organización, dicha información <strong>de</strong>be borrarse <strong>de</strong>l medio total y<br />
perman<strong>en</strong>tem<strong>en</strong>te.<br />
Si algún medio que conti<strong>en</strong>e información es dado <strong>de</strong> baja o cambiado hacia otra<br />
área, el administrador <strong>de</strong>be cerciorarse <strong>de</strong> que sea borrada total y<br />
perman<strong>en</strong>tem<strong>en</strong>te.<br />
En caso <strong>de</strong> ser necesario el transportar información s<strong>en</strong>sible o <strong>de</strong> carácter<br />
confi<strong>de</strong>ncial <strong>en</strong> una unidad portátil <strong>de</strong> almac<strong>en</strong>ami<strong>en</strong>to (memoria USB F<strong>la</strong>sh,<br />
disco duro, <strong>la</strong>ptop, etcétera) esta <strong>de</strong>be ir cifrada.<br />
23
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE CORREO ELECTRÓNICO<br />
Establece el uso a<strong>de</strong>cuado <strong>de</strong>l uso y servicio <strong>de</strong> correo electrónico, así como los<br />
<strong>de</strong>rechos y <strong>la</strong>s obligaciones que el usuario <strong>de</strong>be hacer valer y cumplir al respecto.<br />
<strong>Políticas</strong>:<br />
El usuario es <strong>la</strong> única persona autorizada <strong>para</strong> leer su propio correo, a m<strong>en</strong>os<br />
que él mismo autorice explícitam<strong>en</strong>te a otra persona <strong>para</strong> hacerlo, o bi<strong>en</strong>, que<br />
su cu<strong>en</strong>ta esté involucrada <strong>en</strong> un inci<strong>de</strong>nte <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> <strong>cómputo</strong>, don<strong>de</strong><br />
el administrador o responsable podrá auditar dicha cu<strong>en</strong>ta. (ver políticas<br />
refer<strong>en</strong>tes a <strong>la</strong> auditoria)<br />
El uso <strong>de</strong> <strong>la</strong>s cu<strong>en</strong>tas <strong>de</strong> correo electrónico proporcionadas por <strong>la</strong><br />
organización es <strong>para</strong> uso personal con fines académicos.<br />
Véase también Bu<strong>en</strong>as prácticas <strong>para</strong> el uso <strong>de</strong> correo electrónico.<br />
24
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE DESARROLLO DE SOFTWARE<br />
Las políticas aquí pres<strong>en</strong>tadas especifican los lineami<strong>en</strong>tos <strong>para</strong> el <strong>de</strong>sarrollo <strong>de</strong> todo<br />
tipo <strong>de</strong> código ya que son una parte importante <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática.<br />
<strong>Políticas</strong>:<br />
El <strong>de</strong>sarrollo <strong>de</strong> sistemas, herrami<strong>en</strong>tas y software <strong>en</strong> g<strong>en</strong>eral cuyo propósito sea<br />
el <strong>de</strong> apoyar, facilitar y agilizar <strong>la</strong>s activida<strong>de</strong>s académicas, <strong>de</strong> investigación o <strong>de</strong><br />
doc<strong>en</strong>cia <strong>para</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería así como los distintos proyectos <strong>en</strong><br />
co<strong>la</strong>boración con alguna otra organización interna o externa a <strong>la</strong> UNAM, <strong>de</strong>be<br />
<strong>de</strong> seguir los lineami<strong>en</strong>tos establecidos <strong>para</strong> ello. (Véase Normatividad y<br />
lineami<strong>en</strong>tos <strong>para</strong> el <strong>de</strong>sarrollo <strong>de</strong> sistemas <strong>para</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería).<br />
Con respecto al <strong>de</strong>sarrollo <strong>de</strong> herrami<strong>en</strong>tas <strong>de</strong> <strong>seguridad</strong> informática se <strong>de</strong>b<strong>en</strong><br />
seguir <strong>la</strong>s mismas políticas y lineami<strong>en</strong>tos especificados que <strong>para</strong> el <strong>de</strong>sarrollo<br />
<strong>de</strong> sistemas <strong>para</strong> <strong>la</strong> <strong>Facultad</strong>, <strong>de</strong> Ing<strong>en</strong>iería a<strong>de</strong>más <strong>de</strong> que dicho <strong>de</strong>sarrollo<br />
<strong>de</strong>berá ser notificado al DSC <strong>para</strong> su supervisión.<br />
25
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE CONTABILIDAD DEL SISTEMA<br />
Establec<strong>en</strong> los lineami<strong>en</strong>tos bajo los cuales pue<strong>de</strong>n ser monitoreadas <strong>la</strong>s activida<strong>de</strong>s <strong>de</strong><br />
los usuarios <strong>de</strong>l sistema <strong>de</strong> <strong>cómputo</strong>, así como <strong>la</strong> manera <strong>en</strong> que <strong>de</strong>be manejarse <strong>la</strong><br />
contabilidad <strong>de</strong>l sistema y el propósito <strong>de</strong> <strong>la</strong> misma.<br />
<strong>Políticas</strong>:<br />
El administrador <strong>de</strong>l sistema <strong>de</strong>be contar con herrami<strong>en</strong>tas <strong>de</strong> auditoría <strong>en</strong> el<br />
sistema.<br />
El DSC está facultado <strong>para</strong> <strong>la</strong> realizar y autorizar el uso <strong>de</strong> herrami<strong>en</strong>tas <strong>de</strong><br />
<strong>seguridad</strong> <strong>para</strong> el análisis <strong>de</strong> vulnerabilida<strong>de</strong>s <strong>en</strong> <strong>la</strong>s re<strong>de</strong>s y equipos <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería <strong>para</strong> <strong>la</strong> <strong>de</strong>tección <strong>de</strong> posibles inci<strong>de</strong>ntes <strong>de</strong> <strong>seguridad</strong>.<br />
El único autorizado <strong>para</strong> realizar monitoreo <strong>de</strong> <strong>la</strong> red es el administrador o el<br />
personal que se haya asignado <strong>para</strong> esa responsabilidad.<br />
El administrador o responsable, así como el <strong>de</strong>partam<strong>en</strong>to <strong>de</strong> <strong>cómputo</strong>,<br />
ti<strong>en</strong><strong>en</strong> <strong>la</strong> autoridad <strong>de</strong> realizar auditorías internas cuando estas se requieran<br />
contando previam<strong>en</strong>te con <strong>la</strong> autorización <strong>de</strong>l responsable, jefe directo <strong>de</strong>l<br />
<strong>de</strong>partam<strong>en</strong>to o área a <strong>la</strong> que está asociado el administrador.<br />
El administrador o responsable pue<strong>de</strong> realizar un monitoreo <strong>de</strong> <strong>la</strong> red <strong>en</strong><br />
caso <strong>de</strong> que se pres<strong>en</strong>te un inci<strong>de</strong>nte <strong>de</strong> <strong>seguridad</strong> y cuando necesite<br />
estadísticas <strong>para</strong> rediseñar <strong>la</strong> red.<br />
26
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE USO DE DIRECCIONES IP<br />
El área responsable <strong>en</strong> repres<strong>en</strong>tar a <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería ante DGSCA es el<br />
Departam<strong>en</strong>to <strong>de</strong> Operación <strong>de</strong> Servidores.<br />
<strong>Políticas</strong>:<br />
El administrador <strong>de</strong> <strong>la</strong> red <strong>de</strong>be contar con un registro <strong>de</strong> <strong>la</strong>s direcciones IP<br />
utilizadas.<br />
El formato que <strong>de</strong>be utilizar <strong>para</strong> registrar su información está cont<strong>en</strong>ido <strong>en</strong> el<br />
Apéndice A.<br />
El uso <strong>de</strong> <strong>la</strong>s direcciones IP está regu<strong>la</strong>do, por lo que sólo se pue<strong>de</strong>n emplear<br />
direcciones IP <strong>la</strong>s cuales hayan sido asignadas previam<strong>en</strong>te.<br />
Ningún usuario final pue<strong>de</strong> hacer alguna modificación <strong>en</strong> <strong>la</strong> configuración <strong>de</strong> <strong>la</strong><br />
dirección IP asignada al equipo bajo su responsabilidad.<br />
En el campus <strong>de</strong> C.U. <strong>de</strong>be evitarse el uso <strong>de</strong> servidores <strong>de</strong> DHCP con<br />
Direcciones IP homologadas.<br />
Las subre<strong>de</strong>s <strong>de</strong>b<strong>en</strong> emplear rangos re<strong>la</strong>cionados con <strong>la</strong> zona <strong>en</strong> <strong>la</strong> que se<br />
<strong>en</strong>cu<strong>en</strong>tr<strong>en</strong>.<br />
Cada equipo que se incorpore a <strong>la</strong> red Internet <strong>de</strong>be t<strong>en</strong>er <strong>la</strong> autorización <strong>de</strong>l<br />
administrador <strong>de</strong> <strong>la</strong> red <strong>de</strong>l área <strong>en</strong> cuestión.<br />
Si se realiza un cambio <strong>de</strong> <strong>la</strong> tarjeta <strong>de</strong> red se <strong>de</strong>be informar al administrador <strong>de</strong><br />
<strong>la</strong> red, <strong>de</strong>l reemp<strong>la</strong>zo y <strong>de</strong> <strong>la</strong> dirección física asociada a <strong>la</strong> IP.<br />
Se permit<strong>en</strong> rangos <strong>de</strong> direcciones privadas <strong>de</strong> <strong>la</strong> forma 192.168.X.X pero su<br />
asignación <strong>de</strong>berá <strong>de</strong> contro<strong>la</strong>rse únicam<strong>en</strong>te a los equipos asignados al área.<br />
Las direcciones IP que pue<strong>de</strong>n otorgarse son homologadas o privadas. Las<br />
homologadas sólo son otorgadas si se justifican su uso y disponibilidad. Para<br />
asignar una dirección IP <strong>de</strong>be justificarse su utilización y solicitar<strong>la</strong> al<br />
administrador o responsable <strong>de</strong> <strong>cómputo</strong> <strong>para</strong> su autorización.<br />
El administrador <strong>de</strong> red <strong>de</strong> <strong>la</strong> división podrá realizar reasignaciones <strong>de</strong> los<br />
rangos <strong>de</strong> <strong>la</strong>s direcciones IP homologadas y privadas <strong>para</strong> un mejor <strong>de</strong>sempeño<br />
<strong>de</strong> <strong>la</strong> red.<br />
El administrador <strong>de</strong> red <strong>de</strong> <strong>la</strong> división y el repres<strong>en</strong>tante ante el CACFI son los<br />
únicos autorizados <strong>para</strong> solicitar dar <strong>de</strong> alta nombres canónicos <strong>de</strong> hosts, alias,<br />
mail Exchangers.<br />
27
POLÍTICAS DE SITIOS WEB<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Las políticas aquí cont<strong>en</strong>idas son lineami<strong>en</strong>tos que se <strong>de</strong>b<strong>en</strong> seguir <strong>para</strong> <strong>la</strong> operación <strong>de</strong><br />
los sitos web o páginas <strong>de</strong> internet que oper<strong>en</strong> <strong>en</strong> cualquier equipo <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería.<br />
<strong>Políticas</strong>:<br />
Las sitos WEB a<strong>de</strong>más <strong>de</strong>b<strong>en</strong> seguir con <strong>la</strong>s normas, lineami<strong>en</strong>tos y<br />
recom<strong>en</strong>daciones establecidas por <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería (véase Normatividad<br />
WEB) 4 .<br />
Es responsabilidad <strong>de</strong> los administradores y responsables <strong>la</strong> actualización <strong>de</strong> los<br />
certificados digitales <strong>en</strong> el caso <strong>de</strong> requerir o contar con alguno.<br />
Los servicios que se prestan por medio <strong>de</strong> los servidores <strong>de</strong>b<strong>en</strong> solo t<strong>en</strong>er<br />
insta<strong>la</strong>dos <strong>la</strong>s herrami<strong>en</strong>tas y aplicaciones necesarias <strong>para</strong> los servicios que<br />
proporcionan.<br />
La configuración <strong>de</strong> los servidores es responsabilidad <strong>de</strong>l administrador o<br />
<strong>en</strong>cargado <strong>de</strong> este el cual <strong>de</strong>be configurar estos con el principio <strong>de</strong> mínimo<br />
privilegio.<br />
Los administradores o responsables <strong>de</strong> los servidores son los <strong>en</strong>cargados <strong>de</strong> su<br />
monitoreo, actualización, evaluación e insta<strong>la</strong>ción <strong>de</strong> parches <strong>de</strong> <strong>seguridad</strong>.<br />
La creación <strong>de</strong> sitios web o repositorios <strong>en</strong> servidores y equipos <strong>de</strong> <strong>la</strong> <strong>Facultad</strong><br />
<strong>de</strong> Ing<strong>en</strong>iería son con fines únicam<strong>en</strong>te académicos, por lo que todo material<br />
almac<strong>en</strong>ado como son archivos, docum<strong>en</strong>tos, programas, o cualquier otro tipo<br />
<strong>de</strong> material <strong>de</strong>be contar con permiso expreso, acuerdo <strong>de</strong> co<strong>la</strong>boración o ser <strong>de</strong><br />
dominio público.<br />
4 http://www.ing<strong>en</strong>ieria.unam.mx/cacfi/docum<strong>en</strong>tos/normativiadweb.pdf<br />
28
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS PARA REDES INALÁMBRICAS<br />
Previam<strong>en</strong>te a <strong>la</strong> implem<strong>en</strong>tación <strong>de</strong> una red inalámbrica se <strong>de</strong>b<strong>en</strong> seguir <strong>la</strong>s sigui<strong>en</strong>tes<br />
acciones.<br />
<strong>Políticas</strong>:<br />
Registro <strong>de</strong> <strong>la</strong> Red inalámbrica ante el DSC <strong>de</strong> <strong>la</strong> FI.<br />
Cambiar <strong>la</strong>s c<strong>la</strong>ves por <strong>de</strong>fecto cuando instalemos el software <strong>de</strong>l Punto <strong>de</strong><br />
Acceso (Access Point) o PA<br />
El manejo <strong>de</strong> <strong>la</strong>s contraseñas es responsabilidad <strong>de</strong>l administrador o responsable<br />
el cual es el <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> insta<strong>la</strong>ción <strong>de</strong> <strong>la</strong>s actualizaciones, el uso <strong>de</strong> cifrado<br />
y <strong>de</strong> permitir el acceso <strong>de</strong> los usuarios al PA.<br />
El administrador es el <strong>en</strong>cargado <strong>de</strong> cambiar el SSID que trae el equipo como<br />
pre<strong>de</strong>terminado por el SSID registrado ante el DSC.<br />
El responsable o el administrador es responsable <strong>de</strong> <strong>la</strong> protección física <strong>de</strong> los<br />
dispositivos <strong>de</strong>l medio ambi<strong>en</strong>te y sus efectos, así como <strong>de</strong> posibles atacantes.<br />
29
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE TECNOLOGÍAS EMERGENTES<br />
Son <strong>la</strong>s políticas refer<strong>en</strong>tes al uso <strong>de</strong> tecnologías como <strong>la</strong> robótica, <strong>la</strong> intelig<strong>en</strong>cia<br />
artificial, <strong>la</strong>s tecnologías <strong>de</strong> <strong>la</strong> información y <strong>la</strong>s comunicaciones, <strong>la</strong>s cuales están <strong>en</strong><br />
constante <strong>de</strong>sarrollo y cambios.<br />
<strong>Políticas</strong>:<br />
Es necesario el contactar al DSC <strong>en</strong> caso <strong>de</strong> requerir hacer uso <strong>de</strong> tecnologías<br />
nuevas o emerg<strong>en</strong>tes <strong>de</strong>ntro <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> con el fin <strong>de</strong> t<strong>en</strong>er un control y<br />
conocimi<strong>en</strong>to <strong>de</strong> que tecnologías se están implem<strong>en</strong>tando y <strong>en</strong> don<strong>de</strong>.<br />
Es responsabilidad <strong>de</strong>l administrador o <strong>en</strong>cargado el proteger <strong>de</strong> manera<br />
a<strong>de</strong>cuada el equipo con el fin <strong>de</strong> evitar daños y robos.<br />
30
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE CONTRATACIÓN Y FINALIZACIÓN DE<br />
RELACIONES LABORALES DE RECURSOS HUMANOS<br />
EN SISTEMAS INFORMÁTICOS.<br />
Son <strong>la</strong>s normas refer<strong>en</strong>tes con <strong>la</strong> contratación y el término <strong>de</strong> <strong>la</strong>s re<strong>la</strong>ciones con el<br />
personal que <strong>la</strong>bora <strong>para</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
<strong>Políticas</strong>:<br />
Quedan excluidos <strong>de</strong> ser contratados como administradores <strong>de</strong> sistemas o áreas<br />
<strong>de</strong> <strong>seguridad</strong> informática aquellos que hayan t<strong>en</strong>ido responsabilida<strong>de</strong>s <strong>en</strong><br />
inci<strong>de</strong>ntes graves <strong>de</strong> <strong>seguridad</strong>.<br />
Al finalizar una re<strong>la</strong>ción <strong>la</strong>boral los administradores o <strong>en</strong>cargados <strong>de</strong> sistemas<br />
<strong>de</strong>berán <strong>en</strong>tregar todas <strong>la</strong>s cu<strong>en</strong>tas <strong>de</strong> los sistemas.<br />
Los responsables <strong>de</strong> sistemas <strong>de</strong>b<strong>en</strong> cambiar todas <strong>la</strong>s contraseñas cuando un<br />
administrador <strong>de</strong> su área <strong>de</strong>je <strong>de</strong> prestar sus servicios.<br />
31
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DE COLABORACIÓN CONJUNTA<br />
Descripción <strong>de</strong> lineami<strong>en</strong>tos <strong>para</strong> <strong>la</strong> co<strong>la</strong>boración conjunta con otras áreas,<br />
<strong>de</strong>partam<strong>en</strong>tos, faculta<strong>de</strong>s u organizaciones externas.<br />
<strong>Políticas</strong>:<br />
Es responsabilidad <strong>de</strong>l los interesados <strong>la</strong> realización, supervisión,<br />
implem<strong>en</strong>tación <strong>de</strong> políticas <strong>en</strong> el caso <strong>de</strong> co<strong>la</strong>boración conjunta.<br />
Véase también Bu<strong>en</strong>as prácticas <strong>de</strong> Co<strong>la</strong>boración conjunta<br />
32
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
ACTUALIZACIÓN DE LAS POLÍTICAS<br />
Establece los procedimi<strong>en</strong>tos y acciones <strong>para</strong> <strong>la</strong> revisión <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong><br />
con lo que se busca el mejor aprovechami<strong>en</strong>to <strong>de</strong> los recursos.<br />
<strong>Políticas</strong>:<br />
Las políticas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>b<strong>en</strong> ser actualizadas y revisadas <strong>en</strong> un periodo el<br />
cual será estipu<strong>la</strong>do por el CACFI.<br />
El CACFI está facultado <strong>para</strong> realizar cambios <strong>en</strong> <strong>la</strong>s políticas <strong>en</strong> caso <strong>de</strong> que se<br />
consi<strong>de</strong>r<strong>en</strong> necesarias <strong>la</strong>s cuales serán publicados a <strong>la</strong> brevedad.<br />
Las recom<strong>en</strong>daciones, cambios y observaciones que se pres<strong>en</strong>t<strong>en</strong> a estas<br />
políticas podrán ser pres<strong>en</strong>tadas al <strong>de</strong>partam<strong>en</strong>to <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> por el<br />
administrador a cargo <strong>de</strong>l área, estas serán analizadas y estudiadas antes <strong>de</strong> ser<br />
pres<strong>en</strong>tadas al CACFI.<br />
33
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS REFERENTES A LA AUDITORIA<br />
Establece qui<strong>en</strong>es son los responsables <strong>de</strong> realizar estos procedimi<strong>en</strong>tos con el objetivo<br />
<strong>de</strong> proteger los bi<strong>en</strong>es y los recursos <strong>en</strong> <strong>la</strong>s difer<strong>en</strong>tes áreas.<br />
<strong>Políticas</strong>:<br />
El <strong>de</strong>partam<strong>en</strong>to <strong>de</strong> <strong>seguridad</strong>, <strong>de</strong> <strong>cómputo</strong> y el administrador <strong>en</strong> cuestión ti<strong>en</strong><strong>en</strong><br />
<strong>la</strong> autoridad <strong>de</strong> realizar auditorías internas cuando estas se requieran contando<br />
previam<strong>en</strong>te con <strong>la</strong> autorización <strong>de</strong>l responsable directo, el jefe <strong>de</strong>l área o<br />
división a <strong>la</strong> que está asociado el administrador.<br />
• Un jefe <strong>de</strong> área, <strong>de</strong>partam<strong>en</strong>to, división, administrador o responsable directo<br />
<strong>de</strong>be justificar <strong>la</strong> realización <strong>de</strong> toda auditoria <strong>la</strong> cual pue<strong>de</strong> pedir <strong>la</strong> realice el<br />
personal <strong>de</strong>l <strong>de</strong>partam<strong>en</strong>to <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong>.<br />
La evaluación <strong>de</strong> los p<strong>la</strong>nes <strong>de</strong> conting<strong>en</strong>cia es conforme a los puntos que se<br />
manejan <strong>en</strong> este docum<strong>en</strong>to y pue<strong>de</strong>n ser auditados <strong>en</strong> caso <strong>de</strong> ser necesario.<br />
(Ver <strong>Políticas</strong> <strong>de</strong> p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cia).<br />
Los responsables <strong>de</strong> realizar <strong>la</strong> auditoria <strong>de</strong>b<strong>en</strong> <strong>de</strong> t<strong>en</strong>er <strong>en</strong> cu<strong>en</strong>ta que <strong>la</strong><br />
información que <strong>en</strong>cu<strong>en</strong>tr<strong>en</strong> es confi<strong>de</strong>ncial y <strong>de</strong> propiedad <strong>de</strong> un usuario por lo<br />
que <strong>de</strong>b<strong>en</strong> ser éticos, y profesionales al realizar su trabajo <strong>en</strong>focándose<br />
específicam<strong>en</strong>te <strong>en</strong> lo que van a auditar, y mant<strong>en</strong>i<strong>en</strong>do respeto absoluto y<br />
discreción.<br />
Al concluir una auditoria se <strong>de</strong>be g<strong>en</strong>erar un reporte el cual <strong>de</strong>be cont<strong>en</strong>er <strong>la</strong><br />
razón por <strong>la</strong> cual se realizo <strong>la</strong> auditoria, los resultados <strong>de</strong> esta.<br />
34
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS SOBRE INCIDENTES GRAVES<br />
Se consi<strong>de</strong>ra un inci<strong>de</strong>nte <strong>de</strong> <strong>seguridad</strong> grave un ev<strong>en</strong>to que pone <strong>en</strong> riesgo <strong>la</strong> <strong>seguridad</strong><br />
<strong>de</strong> un sistema <strong>de</strong> <strong>cómputo</strong> y <strong>la</strong> información cont<strong>en</strong>ida <strong>en</strong> ellos.<br />
<strong>Políticas</strong>:<br />
• Obt<strong>en</strong>er privilegios o el control <strong>de</strong> cu<strong>en</strong>tas <strong>de</strong>l sistema, sin que se le haya<br />
otorgado explícitam<strong>en</strong>te.<br />
• At<strong>en</strong>tar contra <strong>la</strong> confi<strong>de</strong>ncialidad, integridad y confiabilidad <strong>de</strong> los sistemas.<br />
• Difundir, copiar, o utilizar información confi<strong>de</strong>ncial <strong>para</strong> otro propósito aj<strong>en</strong>o al<br />
<strong>de</strong>stinado cual está <strong>de</strong>stinada.<br />
• Cualquier tipo <strong>de</strong> ataque o int<strong>en</strong>to <strong>de</strong> explotar alguna vulnerabilidad a equipos<br />
<strong>de</strong> <strong>cómputo</strong>.<br />
• Ejecución <strong>de</strong> cualquier tipo <strong>de</strong> programa <strong>para</strong> obt<strong>en</strong>er o esca<strong>la</strong>r privilegios,<br />
información, cu<strong>en</strong>tas <strong>de</strong> algún sistema incluy<strong>en</strong>do cu<strong>en</strong>tas <strong>de</strong> correo, ingreso al<br />
sistema <strong>de</strong> manera ilícita ya sea <strong>de</strong> manera local o remota.<br />
• En un inci<strong>de</strong>nte don<strong>de</strong> esté involucrado directam<strong>en</strong>te un administrador <strong>de</strong><br />
sistema u trabajador <strong>de</strong> <strong>la</strong> UNAM.<br />
• Infectar int<strong>en</strong>cionalm<strong>en</strong>te un servidor con cualquier tipo <strong>de</strong> malware.<br />
• Modificar configuraciones <strong>de</strong> cualquier tipo <strong>de</strong> equipo <strong>de</strong> <strong>cómputo</strong> sin ser<br />
autorizado <strong>para</strong> realizar dicho cambio.<br />
• El causar cualquier tipo <strong>de</strong> daño int<strong>en</strong>cional a los medios <strong>de</strong> comunicación <strong>de</strong> <strong>la</strong><br />
red. (como son fibra óptica, UTP, Switches, hubs, ruteadores, transceivers,<br />
cableado, etcétera).<br />
IMPORTANTE<br />
Véase Inci<strong>de</strong>ntes <strong>de</strong> <strong>seguridad</strong><br />
Si se llegase a ocurrir un inci<strong>de</strong>nte grave se reportará al DSC <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
ing<strong>en</strong>iería y se seguirán los procedimi<strong>en</strong>tos establecidos por ellos. Como medida<br />
precautoria y t<strong>en</strong>i<strong>en</strong>do como prioridad el mant<strong>en</strong>er <strong>la</strong> <strong>seguridad</strong> <strong>de</strong> los sistemas, <strong>la</strong>s<br />
cu<strong>en</strong>tas involucradas se <strong>de</strong>shabilitarán <strong>en</strong> toda <strong>la</strong> <strong>Facultad</strong> hasta que se <strong>de</strong>slin<strong>de</strong>n <strong>la</strong>s<br />
responsabilida<strong>de</strong>s <strong>de</strong>l inci<strong>de</strong>nte.<br />
35
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
POLÍTICAS DEL PLAN DE CONTINGENCIAS<br />
Especifican el que todas <strong>la</strong>s áreas <strong>de</strong>b<strong>en</strong> <strong>de</strong> <strong>de</strong>sarrol<strong>la</strong>r estrategias <strong>para</strong> <strong>la</strong> protección <strong>de</strong><br />
sus equipos y <strong>la</strong>s metodologías que el p<strong>la</strong>n <strong>de</strong>be t<strong>en</strong>er al <strong>de</strong>sarrol<strong>la</strong>rse.<br />
<strong>Políticas</strong>:<br />
Todas <strong>la</strong>s áreas, <strong>de</strong>partam<strong>en</strong>tos, o divisiones <strong>de</strong>b<strong>en</strong> contar con un p<strong>la</strong>n <strong>de</strong><br />
conting<strong>en</strong>cias <strong>para</strong> sus equipos o servicios críticos <strong>de</strong> <strong>cómputo</strong> el cual es<br />
responsabilidad <strong>de</strong> ellos el <strong>de</strong>sarrol<strong>la</strong>rlo y t<strong>en</strong>erlo implem<strong>en</strong>tado correctam<strong>en</strong>te.<br />
Véase parte <strong>de</strong> Desarrollo <strong>de</strong> un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
36
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Sanciones<br />
Se aplicaran <strong>la</strong>s sigui<strong>en</strong>tes sanciones que pue<strong>de</strong>n consistir <strong>en</strong> <strong>la</strong> susp<strong>en</strong>sión <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong> por el tiempo estipu<strong>la</strong>do según <strong>la</strong> falta cometida, o alguna otra<br />
más según sea <strong>la</strong> gravedad <strong>de</strong> <strong>la</strong> falta cometida.<br />
Actividad ilícita<br />
Consumo <strong>de</strong> alim<strong>en</strong>tos,<br />
bebidas, utilización <strong>de</strong> los<br />
servicios por ocio.<br />
Utilizar una sesión activa<br />
aj<strong>en</strong>a<br />
Acceso con una cu<strong>en</strong>ta<br />
difer<strong>en</strong>te a <strong>la</strong> propia, con el<br />
permiso <strong>de</strong>l propietario<br />
Ejecución <strong>de</strong> programas que<br />
int<strong>en</strong>t<strong>en</strong> obt<strong>en</strong>er información,<br />
privilegios, cu<strong>en</strong>tas <strong>de</strong> algún<br />
sistema incluy<strong>en</strong>do cu<strong>en</strong>tas<br />
<strong>de</strong> correo, o ingreso al<br />
sistema <strong>de</strong> manera ilícita <strong>de</strong><br />
manera local o remota.<br />
Ejecución <strong>de</strong> herrami<strong>en</strong>tas<br />
<strong>para</strong> rastrear vulnerabilida<strong>de</strong>s<br />
<strong>en</strong> sistemas <strong>de</strong> <strong>cómputo</strong><br />
<strong>de</strong>ntro <strong>de</strong> <strong>la</strong> <strong>Facultad</strong><br />
Hacer uso <strong>de</strong> programas que<br />
explotan alguna<br />
vulnerabilidad <strong>de</strong>l sistema.<br />
Insta<strong>la</strong>ción <strong>de</strong> software sin<br />
autorización previa.<br />
Por primera vez<br />
Susp<strong>en</strong>sión <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong> por<br />
un día.<br />
Susp<strong>en</strong>sión por un día su<br />
cu<strong>en</strong>ta.<br />
Susp<strong>en</strong>sión por un mes<br />
<strong>de</strong> los servicios <strong>de</strong><br />
<strong>cómputo</strong> a los<br />
involucrados <strong>en</strong> todas <strong>la</strong>s<br />
áreas <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería.<br />
Susp<strong>en</strong>sión <strong>de</strong> los<br />
servicios por un año <strong>en</strong><br />
todas <strong>la</strong>s áreas <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Susp<strong>en</strong>sión <strong>de</strong> los<br />
servicios por un año <strong>en</strong><br />
todas <strong>la</strong>s áreas <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Susp<strong>en</strong>sión <strong>de</strong> los<br />
servicios por un año <strong>en</strong><br />
todas <strong>la</strong>s áreas <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Susp<strong>en</strong>sión <strong>de</strong>l servicio<br />
<strong>cómputo</strong> por una<br />
semana.<br />
Sanción<br />
En caso <strong>de</strong> Reinci<strong>de</strong>ncia<br />
Cance<strong>la</strong>ción <strong>de</strong> los<br />
servicios por un mes <strong>en</strong><br />
todas <strong>la</strong>s áreas <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Susp<strong>en</strong>sión <strong>de</strong> los servicios<br />
por un mes <strong>en</strong> todas <strong>la</strong>s<br />
áreas <strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería<br />
Susp<strong>en</strong>sión a los<br />
involucrados <strong>de</strong> los<br />
servicios por un semestre.<br />
Cese <strong>de</strong>finitivo <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong>,<br />
durante toda su carrera.<br />
Cese <strong>de</strong>finitivo <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong>,<br />
durante toda su carrera.<br />
Cese <strong>de</strong>finitivo <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong>,<br />
durante toda su carrera.<br />
Susp<strong>en</strong>sión <strong>de</strong>l servicio por<br />
un mes.<br />
37
Cambio <strong>en</strong> <strong>la</strong> configuración<br />
<strong>de</strong> los Equipos.<br />
Envíos <strong>de</strong> cualquier tipo <strong>de</strong><br />
m<strong>en</strong>sajes o propaganda que<br />
at<strong>en</strong>t<strong>en</strong> contra <strong>la</strong> integridad<br />
física o moral <strong>de</strong> <strong>la</strong>s<br />
personas.<br />
Utilización <strong>de</strong> los recursos<br />
con fines <strong>de</strong> ocio y<br />
esparcimi<strong>en</strong>to.<br />
Actividad ilícita<br />
Cualquier vio<strong>la</strong>ción por parte <strong>de</strong> algún<br />
administrador <strong>de</strong> red, académico u<br />
investigador <strong>en</strong> <strong>la</strong> política <strong>de</strong> uso <strong>de</strong><br />
direcciones IP.<br />
Vio<strong>la</strong>ción <strong>de</strong> <strong>la</strong>s políticas por parte <strong>de</strong> un<br />
académico, investigador, trabajador, <strong>en</strong> un<br />
inci<strong>de</strong>nte m<strong>en</strong>or.<br />
Utilización <strong>de</strong> los recursos con fines<br />
difer<strong>en</strong>tes a <strong>la</strong>s funciones <strong>de</strong> su p<strong>la</strong>za <strong>en</strong><br />
caso <strong>de</strong> ser empleado<br />
NOTA<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Susp<strong>en</strong>sión <strong>de</strong>l servicio<br />
<strong>cómputo</strong> por un mes.<br />
Susp<strong>en</strong>sión <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong> por<br />
un año <strong>en</strong> todas <strong>la</strong>s áreas<br />
<strong>de</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong><br />
Ing<strong>en</strong>iería.<br />
Susp<strong>en</strong>sión <strong>de</strong>l servicio<br />
<strong>de</strong> <strong>cómputo</strong> por un día.<br />
Susp<strong>en</strong>sión <strong>de</strong> los servicios<br />
<strong>de</strong> <strong>cómputo</strong> durante un<br />
semestre.<br />
Cese <strong>de</strong>finitivo <strong>de</strong> los<br />
servicios <strong>de</strong> <strong>cómputo</strong>,<br />
durante toda su carrera.<br />
Cance<strong>la</strong>ción <strong>de</strong> los<br />
servicios por un mes <strong>en</strong><br />
todas <strong>la</strong>s áreas <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Sanción<br />
Carta <strong>de</strong> “extrañami<strong>en</strong>to” dirigida al Jefe<br />
<strong>de</strong> División o Secretaría.<br />
Carta <strong>de</strong> “extrañami<strong>en</strong>to” dirigida al Jefe<br />
<strong>de</strong> División o Secretaría.<br />
Carta <strong>de</strong> “extrañami<strong>en</strong>to” dirigida al Jefe<br />
<strong>de</strong> División o Secretaría.<br />
En caso <strong>de</strong> robo y daño físico <strong>de</strong> equipo y material <strong>de</strong> forma int<strong>en</strong>cional, el responsable<br />
t<strong>en</strong>drá que resarcir los daños.<br />
La carta <strong>de</strong> extrañami<strong>en</strong>to <strong>la</strong> podrá realizar el jefe o responsable <strong>de</strong>l área afectada.<br />
38
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Inci<strong>de</strong>ntes <strong>de</strong> Seguridad<br />
39
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Posibles causas <strong>de</strong> vio<strong>la</strong>ción <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong><br />
<strong>seguridad</strong><br />
Al crear nuestras políticas es necesario contemp<strong>la</strong>r difer<strong>en</strong>tes esc<strong>en</strong>arios. Tar<strong>de</strong> o<br />
temprano, todas <strong>la</strong>s políticas serán vio<strong>la</strong>das.<br />
¿Qué pue<strong>de</strong> llevar a que una política sea vio<strong>la</strong>da?<br />
a. Neglig<strong>en</strong>cia.<br />
a. Falta ocasionada por un acto u omisión por parte <strong>de</strong>l usuario <strong>en</strong> el<br />
<strong>de</strong>sempeño <strong>de</strong> sus activida<strong>de</strong>s.<br />
b. Error acci<strong>de</strong>ntal.<br />
a. Falta ocasionada por error <strong>de</strong>l usuario.<br />
c. Desconocimi<strong>en</strong>to <strong>de</strong> <strong>la</strong> misma.<br />
a. Falta por falta <strong>de</strong> conocimi<strong>en</strong>to <strong>de</strong>l usuario<br />
d. Falta <strong>de</strong> <strong>en</strong>t<strong>en</strong>dimi<strong>en</strong>to <strong>de</strong> <strong>la</strong> misma.<br />
a. Falta ocasionada por mal interpretación o por confusión <strong>de</strong> <strong>la</strong><br />
normatividad<br />
Procedimi<strong>en</strong>tos <strong>en</strong> caso <strong>de</strong> vio<strong>la</strong>ción <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong><br />
<strong>seguridad</strong><br />
¿Qué se <strong>de</strong>be hacer si una política es vio<strong>la</strong>da?<br />
a. Investigar quién llevó a cabo esta vio<strong>la</strong>ción.<br />
b. Investigar cómo y por qué ocurrió esta vio<strong>la</strong>ción.<br />
40
c. Aplicar una acción correctiva (disciplinaria).<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
NOTA: En caso <strong>de</strong> ser un inci<strong>de</strong>nte grave <strong>de</strong> <strong>seguridad</strong>, se <strong>de</strong>be notificar al DSCFI.<br />
¿Qué suce<strong>de</strong> si un usuario local vio<strong>la</strong> <strong>la</strong>s políticas <strong>de</strong> un<br />
sitio remoto?<br />
a. Debe darse parte al DSC <strong>para</strong> <strong>la</strong> realización <strong>de</strong> una investigación.<br />
b. Ll<strong>en</strong>ar o realizar un reporte acerca <strong>de</strong>l inci<strong>de</strong>nte.<br />
Estrategias ante un inci<strong>de</strong>nte <strong>de</strong> <strong>seguridad</strong><br />
1. Proteger y perseguir<br />
- Su principal objetivo es proteger y preservar los servicios <strong>de</strong>l sitio pudi<strong>en</strong>do<br />
realizar acciones drásticas, tales como dar <strong>de</strong> baja los servicios, <strong>de</strong>sconectar el<br />
sistema <strong>de</strong> red, apagarlo, etc. Para posteriorm<strong>en</strong>te restablecerlos lo más rápido<br />
posible.<br />
Se utiliza esta estrategia cuando:<br />
Los activos están bi<strong>en</strong> protegidos<br />
Se correo un gran riesgo <strong>de</strong>bido a <strong>la</strong> intrusión.<br />
Existe <strong>la</strong> imposibilidad o disposición <strong>para</strong> <strong>en</strong>juiciar.<br />
Se <strong>de</strong>sconoce <strong>la</strong> base o el orig<strong>en</strong> <strong>de</strong>l intruso.<br />
Existe un agujero <strong>de</strong> <strong>seguridad</strong> y <strong>la</strong> información está <strong>en</strong> peligro.<br />
Los recursos <strong>de</strong> los usuarios minados.<br />
41
2. Perseguir y <strong>en</strong>juiciar<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
- Su objetivo principal es permitir que los intrusos continú<strong>en</strong> con sus activida<strong>de</strong>s<br />
<strong>en</strong> el sistema hasta que pueda i<strong>de</strong>ntificarse a los responsables.<br />
Se utiliza esta estrategia cuando:<br />
Los recursos están bi<strong>en</strong> protegidos.<br />
Se dispone <strong>de</strong> respaldos confiables.<br />
El riesgo <strong>para</strong> los activos es mayor que el daño <strong>de</strong> esta y futuras<br />
intrusiones.<br />
El ataque provi<strong>en</strong>e <strong>de</strong> un sitio con el que guardamos cierta re<strong>la</strong>ción, y<br />
ocurre con cierta frecu<strong>en</strong>cia e int<strong>en</strong>sidad.<br />
El sitio posee cierta atracción <strong>para</strong> los intrusos.<br />
El sitio está dispuesto a correr el riesgo a que se expon<strong>en</strong> los activos al<br />
permitir que el ataque continúe.<br />
Pue<strong>de</strong> contro<strong>la</strong>rse el acceso al intruso.<br />
Se cu<strong>en</strong>ta con herrami<strong>en</strong>tas <strong>de</strong> <strong>seguridad</strong> confiables.<br />
El personal técnico conoce a profundidad el sistema operativo y sus<br />
utilerías.<br />
Existe disposición <strong>para</strong> <strong>la</strong> persecución por parte <strong>de</strong> los directivos.<br />
Exist<strong>en</strong> leyes al respecto.<br />
En el sitio existe algui<strong>en</strong> que conozca sobre cuestiones legales.<br />
42
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Desarrollo <strong>de</strong> un p<strong>la</strong>n <strong>de</strong><br />
conting<strong>en</strong>cias<br />
43
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
P<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Al hab<strong>la</strong>r <strong>de</strong> políticas <strong>de</strong> <strong>seguridad</strong> hay que contemp<strong>la</strong>r tanto <strong>la</strong> prev<strong>en</strong>ción como <strong>la</strong><br />
recuperación. Sin embargo, ningún sistema es completam<strong>en</strong>te seguro, ya que pese a<br />
todas <strong>la</strong>s medidas <strong>de</strong> <strong>seguridad</strong> pue<strong>de</strong> ocurrir un <strong>de</strong>sastre. De hecho los expertos <strong>en</strong><br />
<strong>seguridad</strong> afirman “sutilm<strong>en</strong>te” que hay que <strong>de</strong>finir un P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias <strong>para</strong><br />
“cuando falle el sistema”, <strong>en</strong> vez <strong>de</strong> contar con este “por si fal<strong>la</strong> el sistema”.<br />
Definición <strong>de</strong> un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Algunas <strong>de</strong>finiciones <strong>de</strong> P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias.<br />
• “El p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias es una estrategia constituida por un conjunto <strong>de</strong><br />
recursos i<strong>de</strong>ados con el propósito <strong>de</strong> servir <strong>de</strong> respaldo, contando con una<br />
organización <strong>de</strong> emerg<strong>en</strong>cia y unos procedimi<strong>en</strong>tos <strong>de</strong> actuación <strong>en</strong>caminada<br />
a conseguir una restauración progresiva y ágil <strong>de</strong> los servicios <strong>de</strong> negocio<br />
efectuados por una <strong>para</strong>lización total o parcial <strong>de</strong> <strong>la</strong> capacidad operativa <strong>de</strong><br />
<strong>la</strong> empresa.<br />
Tal estrategia, puntualizada <strong>en</strong> un manual, es resultado <strong>de</strong> todo un proceso<br />
<strong>de</strong> análisis y <strong>de</strong>finiciones que dan lugar a <strong>la</strong>s metodologías. A su vez <strong>la</strong>s<br />
metodologías exist<strong>en</strong>tes versan sobre el proceso necesario <strong>para</strong> obt<strong>en</strong>er dicho<br />
p<strong>la</strong>n.” 5<br />
• “Un P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cia <strong>de</strong> Seguridad Informática consiste <strong>en</strong> los pasos<br />
que se <strong>de</strong>b<strong>en</strong> seguir, luego <strong>de</strong> un <strong>de</strong>sastre, <strong>para</strong> recuperar, aunque sea <strong>en</strong><br />
parte, <strong>la</strong> capacidad funcional <strong>de</strong>l sistema aunque, y por lo g<strong>en</strong>eral, constan <strong>de</strong><br />
reemp<strong>la</strong>zos <strong>de</strong> dichos sistemas.” 6<br />
La primera <strong>de</strong>finición m<strong>en</strong>ciona que cualquier empresa <strong>de</strong>be t<strong>en</strong>er una estrategia <strong>en</strong><br />
caso <strong>de</strong> una <strong>para</strong>lización operativa; mi<strong>en</strong>tras que <strong>la</strong> segunda <strong>de</strong>finición es más<br />
particu<strong>la</strong>r, <strong>de</strong>bido a que se <strong>en</strong>foca a <strong>la</strong> Seguridad Informática, que <strong>en</strong> este caso es <strong>la</strong> <strong>de</strong><br />
interés.<br />
Pero ambas <strong>de</strong>finiciones coinci<strong>de</strong>n que un P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias <strong>de</strong>be ser capaz <strong>de</strong><br />
reestablecer el correcto funcionami<strong>en</strong>to <strong>de</strong> <strong>la</strong> empresa o sistema y minimizar los daños.<br />
De acuerdo con lo anterior po<strong>de</strong>mos <strong>de</strong>finir un P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias como:<br />
5 http://sistemas.dgsca.unam.mx, 2003<br />
6 BORGHELLO, Cristian F. “Seguridad Informática”. 2001. Capítulo 9, página 13.<br />
44
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
“Conjunto <strong>de</strong> procedimi<strong>en</strong>tos que permit<strong>en</strong> recuperar y reestablecer el correcto<br />
funcionami<strong>en</strong>to <strong>de</strong>l sistema <strong>en</strong> un tiempo mínimo <strong>de</strong>spués <strong>de</strong> que se haya producido el<br />
problema; consi<strong>de</strong>rando <strong>la</strong>s acciones que se llevarán a cabo antes, durante y <strong>de</strong>spués <strong>de</strong>l<br />
<strong>de</strong>sastre, <strong>para</strong> t<strong>en</strong>er el mínimo <strong>de</strong> pérdidas posibles.”<br />
El P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias implica un análisis <strong>de</strong> los posibles riesgos a los cuales pue<strong>de</strong>n<br />
estar expuestos los equipos <strong>de</strong> <strong>cómputo</strong> y <strong>la</strong> información cont<strong>en</strong>ida <strong>en</strong> los diversos<br />
medios <strong>de</strong> almac<strong>en</strong>ami<strong>en</strong>to.<br />
Pese a todas <strong>la</strong>s medidas <strong>de</strong> <strong>seguridad</strong> pue<strong>de</strong> ocurrir un <strong>de</strong>sastre, por tanto es necesario<br />
que el P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias incluya un P<strong>la</strong>n <strong>de</strong> Recuperación <strong>de</strong> Desastres, el cual<br />
t<strong>en</strong>drá como objetivo, restaurar el Servicio <strong>de</strong> Cómputo <strong>en</strong> forma rápida, efici<strong>en</strong>te y con<br />
el m<strong>en</strong>or costo y pérdidas posibles.<br />
Si bi<strong>en</strong> es cierto que se pue<strong>de</strong>n pres<strong>en</strong>tar difer<strong>en</strong>tes niveles <strong>de</strong> daños, también se hace<br />
necesario presuponer que el daño ha sido total, con <strong>la</strong> finalidad <strong>de</strong> t<strong>en</strong>er un P<strong>la</strong>n <strong>de</strong><br />
Conting<strong>en</strong>cias lo más completo posible.<br />
Se pue<strong>de</strong>n analizar dos ámbitos: el primero abarca <strong>la</strong>s activida<strong>de</strong>s que se <strong>de</strong>b<strong>en</strong> realizar<br />
y los grupos <strong>de</strong> trabajo o responsables <strong>de</strong> operar<strong>la</strong>s; y el segundo, el control, esto es, <strong>la</strong>s<br />
pruebas y verificaciones periódicas <strong>de</strong> que el P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias está operativo y<br />
actualizado.<br />
Fase I. Análisis y Diseño<br />
Fases <strong>de</strong> un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cia<br />
Estudia <strong>la</strong> problemática, <strong>la</strong>s necesida<strong>de</strong>s <strong>de</strong> recursos, <strong>la</strong>s alternativas <strong>de</strong> respaldo, y se<br />
analiza el costo/b<strong>en</strong>eficio <strong>de</strong> <strong>la</strong>s mismas. Ésta es <strong>la</strong> fase más importante, pudi<strong>en</strong>do<br />
llegarse al final <strong>de</strong> <strong>la</strong> misma incluso a <strong>la</strong> conclusión <strong>de</strong> que es poco efici<strong>en</strong>te. En <strong>la</strong><br />
forma <strong>de</strong> <strong>de</strong>sarrol<strong>la</strong>r esta fase, se difer<strong>en</strong>cian <strong>la</strong>s dos familias metodológicas. Estas son<br />
l<strong>la</strong>madas Análisis <strong>de</strong> Riesgo (Risk Analysis) y el Impacto Económico (Business<br />
Impact).<br />
El Análisis <strong>de</strong> Riesgo se basa <strong>en</strong> el estudio <strong>de</strong> los posibles riesgos <strong>de</strong>s<strong>de</strong> el punto <strong>de</strong><br />
vista <strong>de</strong> probabilidad <strong>de</strong> que los mismos sucedan. Aunque los registros <strong>de</strong> inci<strong>de</strong>ntes<br />
son escasos y poco fiables, aún así es más fácil <strong>en</strong>contrar este tipo <strong>de</strong> metodologías que<br />
<strong>la</strong>s segundas.<br />
45
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
La metodología <strong>de</strong> impacto económico, se basa <strong>en</strong> el estudio <strong>de</strong>l impacto (pérdida<br />
económica o <strong>de</strong> imag<strong>en</strong> que ocasiona <strong>la</strong> falta <strong>de</strong> algún recurso <strong>de</strong> los que soporta <strong>la</strong><br />
actividad <strong>de</strong>l negocio). Estas metodologías son más escasas, pero ti<strong>en</strong><strong>en</strong> gran<strong>de</strong>s<br />
v<strong>en</strong>tajas como es el mejor <strong>en</strong>t<strong>en</strong>dimi<strong>en</strong>to <strong>de</strong>l proceso o el m<strong>en</strong>or empleo <strong>de</strong> tiempo <strong>de</strong><br />
trabajo por ir más directam<strong>en</strong>te al problema.<br />
Las tareas <strong>de</strong> esta fase <strong>en</strong> <strong>la</strong>s distintas metodologías p<strong>la</strong>nteadas son <strong>la</strong>s sigui<strong>en</strong>tes:<br />
Análisis <strong>de</strong> Riesgo<br />
1. I<strong>de</strong>ntificación <strong>de</strong> am<strong>en</strong>azas.<br />
2. Análisis <strong>de</strong> <strong>la</strong> probabilidad <strong>de</strong><br />
materialización <strong>de</strong> <strong>la</strong> am<strong>en</strong>aza<br />
3. Selección <strong>de</strong> am<strong>en</strong>azas.<br />
4. I<strong>de</strong>ntificación <strong>de</strong> <strong>en</strong>tornos<br />
am<strong>en</strong>azados.<br />
5. I<strong>de</strong>ntificación <strong>de</strong> servicios<br />
afectados.<br />
6. Estimación <strong>de</strong>l impacto económico<br />
por <strong>para</strong>lización <strong>de</strong> cada servicio.<br />
7. Selección <strong>de</strong> los servicios a cubrir.<br />
8. Selección final <strong>de</strong>l ámbito <strong>de</strong>l p<strong>la</strong>n.<br />
9. I<strong>de</strong>ntificación <strong>de</strong> alternativas <strong>para</strong><br />
los <strong>en</strong>tornos.<br />
10. Selección <strong>de</strong> alternativas.<br />
11. Diseño <strong>de</strong> estrategias <strong>de</strong> respaldo.<br />
12. Selección <strong>de</strong> <strong>la</strong> estrategia <strong>de</strong><br />
respaldo.<br />
Impacto Económico<br />
1. I<strong>de</strong>ntificación <strong>de</strong> servicios finales.<br />
2. Análisis <strong>de</strong>l impacto. En estas<br />
metodologías se evalúan los daños<br />
económicos y <strong>de</strong> imag<strong>en</strong> y otros<br />
aspectos aj<strong>en</strong>os a los económicos.<br />
3. Selección <strong>de</strong> servicios críticos.<br />
4. Determinación <strong>de</strong> recursos <strong>de</strong><br />
soporte.<br />
5. I<strong>de</strong>ntificación <strong>de</strong> alternativas <strong>para</strong><br />
<strong>en</strong>tornos.<br />
6. Selección <strong>de</strong> alternativas.<br />
7. Diseño <strong>de</strong> estrategias globales <strong>de</strong><br />
respaldo.<br />
8. Selección <strong>de</strong> <strong>la</strong> estrategia global <strong>de</strong><br />
respaldo.<br />
Hay un factor importante a <strong>de</strong>terminar <strong>en</strong> esta fase que es el Time Frame o tiempo que<br />
<strong>la</strong> organización pue<strong>de</strong> asumir con <strong>para</strong>lización <strong>de</strong> <strong>la</strong> actividad operativa antes <strong>de</strong> incurrir<br />
<strong>en</strong> pérdidas significativas. Este factor marcará <strong>la</strong>s estrategias <strong>de</strong> recuperación y se<br />
extraerá <strong>de</strong>l análisis <strong>de</strong>l impacto.<br />
46
Fase II. Desarrollo <strong>de</strong> un p<strong>la</strong>n<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Esta fase y <strong>la</strong> tercera son simi<strong>la</strong>res <strong>en</strong> todas <strong>la</strong>s metodologías. En el<strong>la</strong> se <strong>de</strong>sarrol<strong>la</strong> <strong>la</strong><br />
estrategia seleccionada, imp<strong>la</strong>ntándose hasta el final todas <strong>la</strong>s acciones previstas. Se<br />
<strong>de</strong>fin<strong>en</strong> <strong>la</strong>s distintas organizaciones <strong>de</strong> emerg<strong>en</strong>cia y se <strong>de</strong>sarrol<strong>la</strong>n los procedimi<strong>en</strong>tos<br />
<strong>de</strong> actuación g<strong>en</strong>erando así <strong>la</strong> docum<strong>en</strong>tación <strong>de</strong>l p<strong>la</strong>n.<br />
Es <strong>en</strong> esta fase cuando se analiza <strong>la</strong> vuelta a <strong>la</strong> normalidad, dado que pasar <strong>de</strong> <strong>la</strong><br />
situación normal a <strong>la</strong> alternativa <strong>de</strong>be concluirse con <strong>la</strong> reconstrucción <strong>de</strong> <strong>la</strong> situación<br />
inicial antes <strong>de</strong> <strong>la</strong> conting<strong>en</strong>cia.<br />
Fase III. Pruebas y mant<strong>en</strong>imi<strong>en</strong>to<br />
En esta fase se <strong>de</strong>fin<strong>en</strong> <strong>la</strong>s pruebas, sus características y sus ciclos, y se realiza <strong>la</strong><br />
primera prueba como comprobación <strong>de</strong> todo el trabajo realizado, así como conci<strong>en</strong>tizar<br />
al personal implicado.<br />
Asimismo se <strong>de</strong>fine <strong>la</strong> estrategia <strong>de</strong> mant<strong>en</strong>imi<strong>en</strong>to, <strong>la</strong> organización <strong>de</strong>stinada a ello, y<br />
<strong>la</strong>s normas y procedimi<strong>en</strong>tos necesarios <strong>para</strong> llevarlo a cabo.<br />
Características <strong>de</strong> un P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias<br />
Un p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cia <strong>de</strong>bería <strong>de</strong>:<br />
• T<strong>en</strong>er <strong>la</strong> aprobación <strong>de</strong> los integrantes.<br />
• Ser flexible.<br />
• Cont<strong>en</strong>er un proceso <strong>de</strong> mant<strong>en</strong>imi<strong>en</strong>to.<br />
• T<strong>en</strong>er un costo efectivo.<br />
• Enfatizar <strong>en</strong> <strong>la</strong> continuidad <strong>de</strong>l negocio<br />
• Asignar responsabilida<strong>de</strong>s específicas.<br />
47
Aprobación.<br />
• Incluir un programa <strong>de</strong> prueba.<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
El p<strong>la</strong>n <strong>de</strong>be <strong>de</strong> ser aceptable <strong>para</strong> auditores internos; fuera <strong>de</strong> auditores, el director,<br />
cli<strong>en</strong>tes y proveedores.<br />
Flexibilidad.<br />
El p<strong>la</strong>n <strong>de</strong>berá ser especificado <strong>en</strong> guías, <strong>en</strong> lugar <strong>de</strong> re<strong>la</strong>cionar los <strong>de</strong>talles a situaciones<br />
individuales <strong>de</strong>l <strong>de</strong>sastre.<br />
Mant<strong>en</strong>imi<strong>en</strong>to.<br />
Eludir <strong>de</strong>talles innecesarios <strong>de</strong> manera que el p<strong>la</strong>n pueda ser fácilm<strong>en</strong>te actualizado.<br />
Costo-Efectividad.<br />
La p<strong>la</strong>neación <strong>de</strong>l proyecto <strong>de</strong>berá <strong>en</strong>fatizar <strong>en</strong> <strong>la</strong> necesidad <strong>de</strong> minimizar los costos <strong>de</strong>l<br />
<strong>de</strong>sarrollo <strong>de</strong>l p<strong>la</strong>n, respaldo redundante <strong>de</strong>l procesami<strong>en</strong>to <strong>de</strong> <strong>la</strong> suscripción <strong>de</strong><br />
honorarios, mant<strong>en</strong>imi<strong>en</strong>to y costo <strong>de</strong> pruebas.<br />
Continuidad <strong>de</strong> <strong>la</strong> empresa.<br />
El p<strong>la</strong>n <strong>de</strong>be <strong>de</strong> asegurar <strong>la</strong> continuidad, durante un periodo <strong>de</strong> recuperación <strong>de</strong><br />
<strong>de</strong>sastres.<br />
Respuesta organizada.<br />
El p<strong>la</strong>n <strong>de</strong>be proporcionar una lista <strong>de</strong> verificación <strong>de</strong> salidas que necesitan at<strong>en</strong>ción<br />
inmediata que sigue al <strong>de</strong>sastre. Así mismo incluirá listas <strong>de</strong> números <strong>de</strong> teléfono y <strong>la</strong>s<br />
direcciones <strong>de</strong> individuos <strong>para</strong> conectarlos.<br />
Responsabilidad.<br />
A individuos específicos <strong>de</strong>berá asignárseles <strong>la</strong> responsabilidad <strong>de</strong> cada salida que<br />
requiera at<strong>en</strong>ción durante <strong>la</strong> Respuesta <strong>de</strong> Emerg<strong>en</strong>cia y el tiempo <strong>de</strong>l periodo <strong>de</strong>l<br />
procesami<strong>en</strong>to interno.<br />
48
Prueba.<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
La prueba con los usuarios <strong>para</strong> revisar los procedimi<strong>en</strong>tos <strong>de</strong> verificación <strong>de</strong> respaldo<br />
<strong>de</strong>be <strong>de</strong> realizar algo específico <strong>en</strong> los intervalos <strong>de</strong> tiempo. De tal forma que el p<strong>la</strong>n<br />
cu<strong>en</strong>te con un estado <strong>de</strong> frecu<strong>en</strong>cias <strong>de</strong> prueba y docum<strong>en</strong>te <strong>la</strong> metodología <strong>de</strong> prueba.<br />
Características <strong>de</strong> un bu<strong>en</strong> p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Funcional Desarrol<strong>la</strong>do por los supervisores <strong>de</strong> primera línea.<br />
Costo-Efectividad En re<strong>la</strong>ción con baja probabilidad.<br />
Flexibilidad El mismo p<strong>la</strong>n pue<strong>de</strong> ser utilizado <strong>para</strong> cualquier <strong>de</strong>sastre.<br />
Fácil <strong>de</strong> mant<strong>en</strong>er Mant<strong>en</strong>erlo simple.<br />
Es insufici<strong>en</strong>te el solo t<strong>en</strong>er un manual cuyo título sea P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cia o<br />
<strong>de</strong>nominación simi<strong>la</strong>r, sino que es imprescindible conocer si funcionará con <strong>la</strong>s<br />
garantías necesarias y cubre los requerimi<strong>en</strong>tos <strong>en</strong> un tiempo inferior al fijado y con una<br />
duración sufici<strong>en</strong>te.<br />
El p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cia inexcusablem<strong>en</strong>te <strong>de</strong>be:<br />
• Realizar un análisis <strong>de</strong> Riesgos <strong>de</strong> Sistemas Críticos que <strong>de</strong>termine <strong>la</strong><br />
tolerancia <strong>de</strong> los sistemas.<br />
• Establecer un Periodo Crítico <strong>de</strong> Recuperación <strong>en</strong> el cual los procesos <strong>de</strong>b<strong>en</strong><br />
ser reanudados antes <strong>de</strong> sufrir pérdidas significativas o irrecuperables.<br />
• Realizar un Análisis <strong>de</strong> Aplicaciones Críticas por el que se establezcan <strong>la</strong>s<br />
priorida<strong>de</strong>s <strong>de</strong> Proceso.<br />
• Determinar <strong>la</strong>s priorida<strong>de</strong>s <strong>de</strong> Proceso, por días <strong>de</strong>l año, que indiqu<strong>en</strong> cuáles<br />
son <strong>la</strong>s Aplicaciones y Sistemas Críticos <strong>en</strong> el mom<strong>en</strong>to <strong>de</strong> ocurrir el<br />
<strong>de</strong>sastre y el or<strong>de</strong>n <strong>de</strong> proceso correcto.<br />
49
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
• Establecer Objetivos <strong>de</strong> Recuperación que <strong>de</strong>termin<strong>en</strong> el período <strong>de</strong> tiempo<br />
(horas, días, semanas) <strong>en</strong>tre <strong>la</strong> <strong>de</strong>c<strong>la</strong>ración <strong>de</strong> Desastre y el mom<strong>en</strong>to <strong>en</strong> que<br />
el C<strong>en</strong>tro Alternativo pue<strong>de</strong> procesar <strong>la</strong>s Aplicaciones Críticas.<br />
• Designar, <strong>en</strong>tre los distintos tipos exist<strong>en</strong>tes, un C<strong>en</strong>tro Alternativo <strong>de</strong><br />
Proceso <strong>de</strong> Datos.<br />
• Asegurar <strong>la</strong> Capacidad <strong>de</strong> Comunicaciones.<br />
• Asegurar <strong>la</strong> Capacidad <strong>de</strong> los Servicios <strong>de</strong> respaldos.<br />
Algunas <strong>de</strong> <strong>la</strong>s preguntas que pue<strong>de</strong>n formu<strong>la</strong>rse al realizar una auditoría sobre<br />
este tipo <strong>de</strong> p<strong>la</strong>nes es:<br />
o ¿Cómo está estructurado el P<strong>la</strong>n?<br />
o ¿Es fácil <strong>de</strong> seguir el P<strong>la</strong>n <strong>en</strong> el caso <strong>de</strong> un <strong>de</strong>sastre?<br />
o ¿Indica el P<strong>la</strong>n quién es el responsable <strong>de</strong> <strong>de</strong>sarrol<strong>la</strong>r tareas específicas?<br />
o ¿Cómo se activa el p<strong>la</strong>n <strong>en</strong> caso <strong>de</strong> un <strong>de</strong>sastre?<br />
o ¿Cómo están cont<strong>en</strong>idos estos procedimi<strong>en</strong>tos <strong>de</strong> activación <strong>en</strong> los<br />
procedimi<strong>en</strong>tos <strong>de</strong> emerg<strong>en</strong>cia normales <strong>de</strong> <strong>la</strong> organización?<br />
o ¿Han sido probados estos procedimi<strong>en</strong>tos <strong>en</strong> un test <strong>de</strong> <strong>de</strong>sastre simu<strong>la</strong>do?<br />
o ¿Conti<strong>en</strong>e el P<strong>la</strong>n procedimi<strong>en</strong>tos que fij<strong>en</strong> los daños <strong>en</strong> <strong>la</strong>s etapas iniciales <strong>de</strong><br />
<strong>la</strong>s Operaciones <strong>de</strong> Recuperación?<br />
o ¿Incluye el P<strong>la</strong>n procedimi<strong>en</strong>tos <strong>para</strong> tras<strong>la</strong>dar el proceso <strong>de</strong>s<strong>de</strong> el C<strong>en</strong>tro<br />
Alternativo al C<strong>en</strong>tro Restaurado o Nuevo?<br />
o ¿Conti<strong>en</strong>e el P<strong>la</strong>n listados <strong>de</strong>l Inv<strong>en</strong>tario <strong>de</strong>l proceso <strong>de</strong> datos y hardware <strong>de</strong><br />
comunicaciones, software, formu<strong>la</strong>rios previam<strong>en</strong>te impresos y stock <strong>de</strong> papel y<br />
accesorios?<br />
o ¿Están actualizados los listados telefónicos <strong>de</strong>l personal <strong>de</strong> recuperación así<br />
como empleados <strong>de</strong>l proceso <strong>de</strong> datos, alta dirección, usuarios finales,<br />
v<strong>en</strong><strong>de</strong>dores y proveedores?<br />
o ¿Cómo esta cont<strong>en</strong>ido el p<strong>la</strong>n?<br />
o ¿Quién es el responsable <strong>de</strong> actualizar el P<strong>la</strong>n?<br />
50
o ¿Cuándo fue actualizado el p<strong>la</strong>n?<br />
o ¿Hay copias <strong>de</strong>l P<strong>la</strong>n distribuidas <strong>en</strong> otro lugar?<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
En <strong>la</strong> auditoría es necesario revisar si existe tal p<strong>la</strong>n, si es completo y actualizado, si<br />
cubre los difer<strong>en</strong>tes procesos, áreas y p<strong>la</strong>taformas, o bi<strong>en</strong> si exist<strong>en</strong> p<strong>la</strong>nes difer<strong>en</strong>tes<br />
según <strong>en</strong>tornos, evaluar <strong>en</strong> todo caso si es viable, así como los resultados <strong>de</strong> <strong>la</strong>s pruebas<br />
que se hayan realizado, si permite garantizar razonablem<strong>en</strong>te que <strong>en</strong> caso necesario y a<br />
través <strong>de</strong> los medios alternativos, propios o contratados, podría permitir <strong>la</strong> reanudación<br />
<strong>de</strong> <strong>la</strong>s operaciones <strong>en</strong> un tiempo inferior al fijado por los responsables <strong>de</strong>l uso <strong>de</strong> <strong>la</strong>s<br />
aplicaciones, que <strong>en</strong> ocasiones también son los propietarios <strong>de</strong> <strong>la</strong>s mismas.<br />
Si <strong>la</strong>s revisiones aportan garantías insufici<strong>en</strong>tes se <strong>de</strong>b<strong>en</strong> sugerir pruebas<br />
complem<strong>en</strong>tarias o hacer constar <strong>en</strong> el informe, incluso indicarlo <strong>en</strong> el apartado <strong>de</strong><br />
limitaciones.<br />
Es necesario verificar que <strong>la</strong> solución adoptada es a<strong>de</strong>cuada: insta<strong>la</strong>ciones propias,<br />
aj<strong>en</strong>as, compartidas, etc. Y que existe el contrato oportuno si hay participación <strong>de</strong> otras<br />
<strong>en</strong>tida<strong>de</strong>s aunque sean <strong>de</strong>l mismo grupo o sector.<br />
D<strong>en</strong>tro <strong>de</strong> lo crítico <strong>de</strong> <strong>la</strong>s aplicaciones se pue<strong>de</strong> distinguir <strong>en</strong>tre <strong>la</strong>s más críticas, con<br />
impacto muy alto <strong>en</strong> el negocio y sin alternativa, otras con alternativas, e incluso<br />
difer<strong>en</strong>ciado si con costos altos o inferiores, y aquel<strong>la</strong>s cuya interrupción, al m<strong>en</strong>os <strong>en</strong><br />
un número <strong>de</strong> días fijado, carece <strong>de</strong> inci<strong>de</strong>ncia y habrá que distinguir qué tipos <strong>de</strong><br />
consecu<strong>en</strong>cias e impacto, <strong>en</strong> función <strong>de</strong>l sector y <strong>en</strong>tidad, y día <strong>de</strong>l mes <strong>en</strong> que ocurriera<br />
el inci<strong>de</strong>nte, y tal vez <strong>la</strong> hora <strong>en</strong> algunos casos. Fr<strong>en</strong>te a lo que v<strong>en</strong>ía si<strong>en</strong>do <strong>la</strong> previsión<br />
<strong>de</strong> conting<strong>en</strong>cias <strong>en</strong> estos años pasados, c<strong>en</strong>trándose sólo <strong>en</strong> el host como un gran<br />
servidor, hoy <strong>en</strong> día, con <strong>la</strong> c<strong>la</strong>ra t<strong>en</strong><strong>de</strong>ncia a <strong>en</strong>tornos distribuidos, es necesario<br />
consi<strong>de</strong>rar también estos <strong>en</strong> <strong>la</strong> previsión <strong>de</strong> <strong>la</strong>s conting<strong>en</strong>cias.<br />
Debe existir un manual completo y exhaustivo re<strong>la</strong>cionado con <strong>la</strong> continuidad <strong>en</strong> el que<br />
se contempl<strong>en</strong> difer<strong>en</strong>tes tipos <strong>de</strong> inci<strong>de</strong>ncias y a qué nivel se pue<strong>de</strong> <strong>de</strong>cidir que se trata<br />
<strong>de</strong> una conting<strong>en</strong>cia y <strong>de</strong> qué tipo.<br />
Estructura <strong>de</strong> g<strong>en</strong>eral <strong>de</strong>l p<strong>la</strong>n <strong>de</strong> conting<strong>en</strong>cias<br />
Objetivo <strong>de</strong>l P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias: Se <strong>de</strong>b<strong>en</strong> indicar aquellos compon<strong>en</strong>tes<br />
<strong>de</strong> <strong>la</strong> función crítica que se pret<strong>en</strong><strong>de</strong>n cubrir fr<strong>en</strong>te a <strong>la</strong> conting<strong>en</strong>cia<br />
consi<strong>de</strong>rada. Estos compon<strong>en</strong>tes pue<strong>de</strong>n variar, así como su grado <strong>de</strong> cobertura<br />
<strong>para</strong> <strong>la</strong>s distintas conting<strong>en</strong>cias analizadas.<br />
51
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Criterio <strong>para</strong> <strong>la</strong> ejecución <strong>de</strong>l P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias: Condiciones bajo <strong>la</strong>s<br />
cuales se consi<strong>de</strong>ra que <strong>de</strong>be com<strong>en</strong>zar a aplicarse el P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias.<br />
Tiempo esperado <strong>de</strong> duración <strong>de</strong>l P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias: Es el tiempo<br />
máximo que se pue<strong>de</strong> continuar operando bajo estas condiciones <strong>de</strong><br />
conting<strong>en</strong>cia.<br />
Roles, responsabilidad y autoridad: Esto es c<strong>la</strong>ve <strong>para</strong> <strong>la</strong> bu<strong>en</strong>a marcha <strong>de</strong>l<br />
P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias. Se <strong>de</strong>be <strong>de</strong>terminar muy c<strong>la</strong>ram<strong>en</strong>te, cuál es el papel <strong>de</strong><br />
cada uno <strong>de</strong> los sectores <strong>de</strong> <strong>la</strong> organización ante <strong>la</strong> conting<strong>en</strong>cia y cómo se<br />
alteran los procedimi<strong>en</strong>tos habituales <strong>para</strong> dar lugar a los procedimi<strong>en</strong>tos <strong>de</strong><br />
conting<strong>en</strong>cia.<br />
Requerimi<strong>en</strong>tos <strong>de</strong> recursos: Qué recursos se necesitan <strong>para</strong> operar <strong>en</strong> el modo<br />
conting<strong>en</strong>cia y cuáles <strong>de</strong> los recursos habitualm<strong>en</strong>te utilizados se <strong>de</strong>be evitar<br />
utilizar. Esto <strong>de</strong>be estar <strong>de</strong>bidam<strong>en</strong>te docum<strong>en</strong>tado y verificado lo más<br />
exhaustivam<strong>en</strong>te posible.<br />
Capacitación: Otro aspecto importante es <strong>la</strong> capacitación al personal que <strong>de</strong>be<br />
interv<strong>en</strong>ir <strong>en</strong> <strong>la</strong> conting<strong>en</strong>cia, cuando ésta se pres<strong>en</strong>te. Es necesario que el<br />
personal involucrado sepa cómo se saca <strong>de</strong> servicio cualquier compon<strong>en</strong>te que,<br />
según el P<strong>la</strong>n <strong>de</strong> Conting<strong>en</strong>cias, <strong>de</strong>be ser <strong>de</strong>t<strong>en</strong>ido ante alguna fal<strong>la</strong>; que pueda<br />
darse cu<strong>en</strong>ta <strong>de</strong> qué <strong>de</strong>be hacer y que esté <strong>en</strong> capacidad <strong>de</strong> hacerlo cuando sea<br />
preciso. También <strong>de</strong>be t<strong>en</strong>erse <strong>en</strong> cu<strong>en</strong>ta que <strong>en</strong> algún mom<strong>en</strong>to habrá que<br />
volver a <strong>la</strong> operación habitual; por lo tanto <strong>de</strong>berán incluirse <strong>en</strong> el p<strong>la</strong>n <strong>de</strong><br />
mecanismos <strong>para</strong> volver a <strong>la</strong> operatoria anterior a <strong>la</strong> conting<strong>en</strong>cia y el tiempo<br />
máximo que <strong>la</strong> función pue<strong>de</strong> permanecer <strong>en</strong> estado <strong>de</strong> conting<strong>en</strong>cia.<br />
Implem<strong>en</strong>tación y Operación <strong>de</strong> los P<strong>la</strong>nes <strong>de</strong> Conting<strong>en</strong>cia: Se <strong>de</strong>sea el<br />
evitar implem<strong>en</strong>tar los P<strong>la</strong>nes <strong>de</strong> Conting<strong>en</strong>cia, sin embargo, por si esto suce<strong>de</strong>,<br />
se <strong>de</strong>be que estar pre<strong>para</strong>do y t<strong>en</strong>er instructivos c<strong>la</strong>ros <strong>para</strong> todas <strong>la</strong>s tareas que<br />
<strong>de</strong>berían realizarse.<br />
Reinsta<strong>la</strong>ción: La conting<strong>en</strong>cia como su nombre lo indica, es una situación<br />
temporal. Por lo tanto, se <strong>de</strong>b<strong>en</strong> prever mecanismos como <strong>para</strong> recuperar los<br />
datos <strong>de</strong> operación durante <strong>la</strong> conting<strong>en</strong>cia, si es que son necesarios, y <strong>para</strong><br />
aplicar <strong>la</strong>s instrucciones necesarias <strong>para</strong> que <strong>la</strong>s operaciones sufran lo m<strong>en</strong>os<br />
posible al terminar el periodo <strong>de</strong> conting<strong>en</strong>cia.<br />
52
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Gestión <strong>de</strong> contraseñas<br />
53
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Gestión <strong>de</strong> contraseñas<br />
Este apartado ti<strong>en</strong>e como propósito el que los usuarios <strong>en</strong> g<strong>en</strong>eral sepan <strong>la</strong> importancia<br />
sobre <strong>la</strong> gestión <strong>de</strong> contraseñas.<br />
Las contraseñas son <strong>de</strong> gran importancia ya que son <strong>la</strong>s <strong>en</strong>cargadas <strong>de</strong> resguardar y<br />
proteger <strong>la</strong> información <strong>de</strong> los usuarios, sin <strong>la</strong> exist<strong>en</strong>cia <strong>de</strong> estas o con una contraseña<br />
muy débil es imposible t<strong>en</strong>er los servicios <strong>de</strong> <strong>seguridad</strong> los cuales proporcionan<br />
<strong>seguridad</strong> a nuestra información. Entre ellos se <strong>en</strong>cu<strong>en</strong>tran:<br />
Confi<strong>de</strong>ncialidad Permite que nuestra información sea privada.<br />
Integridad Que nadie más pueda hacer cambios.<br />
Disponibilidad Que podamos t<strong>en</strong>er nuestra información cuando sea necesaria.<br />
Aut<strong>en</strong>ticación Verifica que realm<strong>en</strong>te seamos los dueños <strong>de</strong> <strong>la</strong> información.<br />
Sin estos servicios cualquier persona pue<strong>de</strong> alterar nuestra información, robar<strong>la</strong>,<br />
<strong>de</strong>struir<strong>la</strong>, ver<strong>la</strong>, impedir su utilización cuando sea necesaria. Por esto es importante <strong>la</strong><br />
gestión <strong>de</strong> contraseñas.<br />
A continuación se m<strong>en</strong>cionan algunas recom<strong>en</strong>daciones sobre el cómo hacer que<br />
nuestras contraseñas sean más seguras.<br />
1. Evitar el uso <strong>de</strong> pa<strong>la</strong>bras cont<strong>en</strong>idas <strong>en</strong> diccionarios <strong>de</strong> cualquier c<strong>la</strong>se o idioma<br />
2. Uso <strong>de</strong> contraseñas <strong>de</strong> longitud mínima <strong>de</strong> 6 caracteres.<br />
3. Memorizar sus contraseñas y mant<strong>en</strong>er<strong>la</strong>s <strong>en</strong> secreto.<br />
4. Es recom<strong>en</strong>dable t<strong>en</strong>er una contraseña por cada cu<strong>en</strong>ta que se t<strong>en</strong>ga ya sea <strong>de</strong><br />
correo o <strong>de</strong> usuario <strong>en</strong> algún equipo.<br />
5. Cambiar su contraseña periódicam<strong>en</strong>te, al m<strong>en</strong>os cada 6 meses.<br />
6. Uso <strong>de</strong> mayúscu<strong>la</strong>s, minúscu<strong>la</strong>s y caracteres especiales.<br />
7. Evitar el uso <strong>de</strong> información asociada con <strong>la</strong> cu<strong>en</strong>ta, usuario, o con el propósito<br />
<strong>de</strong> <strong>la</strong> cu<strong>en</strong>ta.<br />
8. El uso <strong>de</strong> contraseñas previam<strong>en</strong>te utilizadas se consi<strong>de</strong>ra una fal<strong>la</strong> grave, por lo<br />
tanto se <strong>de</strong>be evitar.<br />
Nota: La simple sustitución <strong>de</strong> letras por números o símbolos es consi<strong>de</strong>rada una<br />
contraseña débil que pue<strong>de</strong> ser vulnerada.<br />
Ejemplo:<br />
Contraseña Acerca <strong>de</strong> <strong>la</strong> contraseña<br />
54
facultad Pa<strong>la</strong>bra <strong>de</strong>l idioma Castel<strong>la</strong>no<br />
f4cult4d Cambio <strong>de</strong> “a” por el número “4”<br />
F4cult4D Uso <strong>de</strong> Mayúscu<strong>la</strong>s<br />
F4cu1t4D Cambio <strong>de</strong> “l” por número“1”<br />
F4cu1t4D05 Añadir un par <strong>de</strong> números “05”<br />
F4cu1t4D-05 Añadir caracteres especiales “-“<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
El uso <strong>de</strong> estas recom<strong>en</strong>daciones hace más segura <strong>la</strong> contraseña a<strong>de</strong>más <strong>de</strong> ser<br />
re<strong>la</strong>tivam<strong>en</strong>te fácil el po<strong>de</strong>r memorizar<strong>la</strong>.<br />
Para el <strong>de</strong>sarrollo <strong>de</strong> una contraseña fuerte también pue<strong>de</strong>n usarse técnicas<br />
nemotécnicas que están asociadas a <strong>la</strong>s antes vistas anteriorm<strong>en</strong>te <strong>la</strong>s cuales consist<strong>en</strong><br />
<strong>en</strong> <strong>la</strong> asociación <strong>de</strong> frases a pa<strong>la</strong>bras nuevas inexist<strong>en</strong>tes <strong>en</strong> cualquier idioma.<br />
Ejemplo:<br />
Se toma cualquier oración o frase <strong>para</strong> <strong>la</strong> construcción <strong>de</strong> <strong>la</strong> contraseña:<br />
La mejor escue<strong>la</strong> <strong>de</strong> ing<strong>en</strong>iería es <strong>la</strong> facultad <strong>de</strong> ing<strong>en</strong>iería<br />
Se toman <strong>la</strong>s primeras letras <strong>de</strong> cada pa<strong>la</strong>bra <strong>para</strong> crear <strong>la</strong> contraseña.<br />
lmedielfi Esta pa<strong>la</strong>bra es inexist<strong>en</strong>te<br />
Sin embargo esta una contraseña es aun débil, por lo que siguiere seguir <strong>la</strong>s<br />
recom<strong>en</strong>daciones ya vista anteriorm<strong>en</strong>te, es <strong>de</strong>cir incluir el uso <strong>de</strong> mayúscu<strong>la</strong>s, números<br />
y caracteres especiales.<br />
Contraseña: Lm3di3l_FI<br />
Por último es importante el cambiar <strong>la</strong> contraseña <strong>en</strong> caso sospechar que <strong>la</strong> cu<strong>en</strong>ta ha<br />
sido acezada por algui<strong>en</strong> más, así como evitar volver a usar esa contraseña <strong>en</strong> ninguna<br />
cu<strong>en</strong>ta nuevam<strong>en</strong>te.<br />
Visita <strong>la</strong> página: http://redy<strong>seguridad</strong>.fi-p.unam.mx/ver_con.html don<strong>de</strong> se <strong>en</strong>cu<strong>en</strong>tra un<br />
software <strong>para</strong> evaluar el nivel <strong>de</strong> <strong>la</strong>s contraseñas, el cual pue<strong>de</strong> ayudar a <strong>la</strong> formu<strong>la</strong>ción<br />
<strong>de</strong> una contraseña fuerte.<br />
55
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Bu<strong>en</strong>as Prácticas<br />
56
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
BUENAS PRÁCTICAS PARA EL USO DE CORREO<br />
ELECTRÓNICO<br />
Evitar el <strong>en</strong>vío <strong>de</strong> correos SPAM, es <strong>de</strong>cir ca<strong>de</strong>nas, publicidad, anuncios<br />
publicitarios o con intereses personales, chistes, forwards, información<br />
intransc<strong>en</strong><strong>de</strong>nte aj<strong>en</strong>a a activida<strong>de</strong>s académicas, así como el <strong>en</strong>vío <strong>de</strong> correos<br />
of<strong>en</strong>sivos, los cuales cont<strong>en</strong>gan ma<strong>la</strong>s pa<strong>la</strong>bras, injurias, cont<strong>en</strong>ido ina<strong>de</strong>cuado<br />
como imág<strong>en</strong>es <strong>de</strong> <strong>de</strong>snudos, <strong>en</strong>tre otros.<br />
Es importante el evitar abrir correos que carezcan <strong>de</strong> remit<strong>en</strong>te o asunto, así<br />
como direcciones <strong>de</strong> correo <strong>de</strong>sconocidas.<br />
Si se requiere re<strong>en</strong>viar información se <strong>de</strong>be evitar el que el correo re<strong>en</strong>viado<br />
cont<strong>en</strong>ga <strong>la</strong>s direcciones <strong>de</strong> correo <strong>de</strong> otros usuarios, mediante el uso <strong>de</strong> <strong>la</strong><br />
opción CCO: (con copia oculta).<br />
57
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
BUENAS PRÁCTICAS PARA REDES INALÁMBRICAS<br />
Las recom<strong>en</strong>daciones aquí sugeridas <strong>de</strong>b<strong>en</strong> tomarse <strong>en</strong> cu<strong>en</strong>ta <strong>para</strong> <strong>la</strong> implem<strong>en</strong>tación<br />
<strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>la</strong>s re<strong>de</strong>s inalámbricas, ya que por su fácil y s<strong>en</strong>cil<strong>la</strong> implem<strong>en</strong>tación se<br />
comet<strong>en</strong> una serie <strong>de</strong> errores que pue<strong>de</strong>n causar inci<strong>de</strong>ntes <strong>de</strong> <strong>seguridad</strong>. Por esto se<br />
recomi<strong>en</strong>dan <strong>la</strong>s sigui<strong>en</strong>tes acciones.<br />
Elección <strong>de</strong> un canal difer<strong>en</strong>te a los utilizados por <strong>la</strong>s re<strong>de</strong>s inalámbricas<br />
cercanas <strong>para</strong> obt<strong>en</strong>er una mejor señal.<br />
Apagar el equipo al término <strong>de</strong> <strong>la</strong>s activida<strong>de</strong>s o cuando el equipo pase a<br />
inactividad por periodos <strong>la</strong>rgos<br />
T<strong>en</strong>er una bu<strong>en</strong>a ubicación <strong>para</strong> los PA.<br />
Desactivar el Broadcasting SSID.<br />
Manejar una bu<strong>en</strong>a gestión <strong>de</strong> contraseñas<br />
La revisión <strong>de</strong> <strong>la</strong>s bitácoras <strong>de</strong> los PA periódicam<strong>en</strong>te <strong>para</strong> búsqueda <strong>de</strong><br />
anomalías.<br />
Establecer un número máximo <strong>de</strong> equipos por PA.<br />
Control y filtrado <strong>de</strong> direcciones MAC.<br />
Evitar <strong>en</strong> lo posible <strong>la</strong> utilización <strong>de</strong> cifrado con WEP.<br />
Ajustar <strong>la</strong> pot<strong>en</strong>cia <strong>de</strong>l AP con <strong>la</strong> finalidad <strong>de</strong> solo t<strong>en</strong>er <strong>la</strong> pot<strong>en</strong>cia sufici<strong>en</strong>te<br />
<strong>para</strong> lo que requerimos, con esto evitar que el alcance nuestra red salga <strong>de</strong> <strong>la</strong><br />
zona don<strong>de</strong> trabajemos y pueda así ser atacada.<br />
58
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
BUENAS PRÁCTICAS PARA EL USO DE TECNOLOGÍAS<br />
EMERGENTES<br />
La implem<strong>en</strong>tación <strong>de</strong> tecnologías nuevas y <strong>la</strong>s aplicaciones <strong>de</strong> estas <strong>para</strong> <strong>la</strong> realización<br />
<strong>de</strong> nuevos productos son algo que se vuelve más común. Un ejemplo <strong>de</strong> esto es el<br />
increíble y rápido avance <strong>de</strong> <strong>la</strong>s re<strong>de</strong>s inalámbricas, <strong>la</strong>s cuales se han hecho muy<br />
popu<strong>la</strong>res, algunas <strong>de</strong> estas tecnologías emerg<strong>en</strong>tes son zigbee, bluetooth, rfid, gps, el<br />
uso <strong>de</strong> ambi<strong>en</strong>te virtuales.<br />
Por esto se recomi<strong>en</strong>dan <strong>la</strong>s sigui<strong>en</strong>tes acciones.<br />
Informarse bi<strong>en</strong> acerca <strong>de</strong> <strong>la</strong> tecnología <strong>en</strong> cuestión antes <strong>de</strong> operar o adquirir<br />
algún dispositivo o producto con esa tecnología.<br />
Apagar el dispositivo o producto al finalizar <strong>la</strong>s activida<strong>de</strong>s.<br />
En caso <strong>de</strong> <strong>de</strong>scubrir anomalías o interfer<strong>en</strong>cias se <strong>de</strong>be avisar al responsable<br />
con el fin <strong>de</strong> evitar algún inci<strong>de</strong>nte.<br />
Evitar el uso <strong>para</strong> el procesami<strong>en</strong>to o transmisión <strong>de</strong> información s<strong>en</strong>sible.<br />
Usar algún tipo <strong>de</strong> cifrado <strong>de</strong> ser posible.<br />
Si existe <strong>la</strong> necesidad <strong>de</strong> realizar pruebas, estas <strong>de</strong>berán ser <strong>en</strong> un área y <strong>de</strong><br />
manera contro<strong>la</strong>da. (Véase también POLÍTICAS DE USO ADECUADO).<br />
59
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
BUENAS PRÁCTICAS PARA LA COLABORACIÓN<br />
El establecer recom<strong>en</strong>daciones <strong>para</strong> <strong>la</strong> co<strong>la</strong>boración conjunta <strong>en</strong>tre dos o más<br />
<strong>la</strong>boratorios, áreas, <strong>de</strong>partam<strong>en</strong>tos, divisiones, faculta<strong>de</strong>s u otras organizaciones.<br />
De requerir el acceso por parte <strong>de</strong> personal aj<strong>en</strong>o a los recursos informáticos, el<br />
administrador o responsable <strong>de</strong>be proveer dicho servicio <strong>para</strong> garantizar,<br />
revocar, y r<strong>en</strong>ovar estos.<br />
Capacitar y crear conci<strong>en</strong>cia <strong>en</strong> los usuarios acerca <strong>de</strong> <strong>la</strong> importancia <strong>de</strong> <strong>la</strong><br />
<strong>seguridad</strong> así como acerca <strong>de</strong> <strong>la</strong>s políticas <strong>de</strong> <strong>seguridad</strong>.<br />
Aplicar el concepto <strong>de</strong>l mínimo privilegio <strong>para</strong> <strong>la</strong> implem<strong>en</strong>tación <strong>de</strong>l acceso a<br />
los recursos informáticos que se requier<strong>en</strong>.<br />
El personal con el que se co<strong>la</strong>bora <strong>de</strong>be ser notificado acerca <strong>de</strong> <strong>la</strong>s políticas,<br />
reg<strong>la</strong>m<strong>en</strong>tos, bu<strong>en</strong>as prácticas y procedimi<strong>en</strong>tos involucrados los cuales <strong>de</strong>be<br />
seguir durante su estancia.<br />
Al término <strong>de</strong> <strong>la</strong> re<strong>la</strong>ción <strong>de</strong> co<strong>la</strong>boración el administrador <strong>de</strong>be revocar, borrar y<br />
<strong>de</strong>shabilitar todo tipo <strong>de</strong> cu<strong>en</strong>tas involucradas <strong>en</strong> dicha re<strong>la</strong>ción.<br />
60
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Códigos <strong>de</strong> Ética<br />
61
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Ética informática<br />
La ética se <strong>de</strong>fine como: “principios directivos que ori<strong>en</strong>tan a <strong>la</strong>s personas <strong>en</strong> cuanto a<br />
<strong>la</strong> concepción <strong>de</strong> <strong>la</strong> vida, el hombre, los juicios, los hechos, y <strong>la</strong> moral.” 7<br />
Es conv<strong>en</strong>i<strong>en</strong>te difer<strong>en</strong>ciar <strong>la</strong> ética <strong>de</strong> <strong>la</strong> moral, <strong>la</strong> ética es una disciplina filosófica, <strong>la</strong><br />
cual ti<strong>en</strong>e como objeto <strong>de</strong> estudio <strong>la</strong> moral, esto es opuesto a <strong>de</strong>cir que <strong>la</strong> ética crea <strong>la</strong><br />
moral, so<strong>la</strong>m<strong>en</strong>te reflexiona sobre el<strong>la</strong>.<br />
“La moral se refiere a <strong>la</strong> conducta <strong>de</strong>l hombre que obe<strong>de</strong>ce a unos criterios valorativos<br />
acerca <strong>de</strong>l bi<strong>en</strong> y el mal, mi<strong>en</strong>tras que <strong>la</strong> ética reflexiona acerca <strong>de</strong> tales criterios, así<br />
como <strong>de</strong> todo lo refer<strong>en</strong>te a <strong>la</strong> moralidad.” 8<br />
“Otro concepto importante es el <strong>de</strong> valor, este no lo pose<strong>en</strong> los objetos por sí mismo,<br />
sino que estos lo adquier<strong>en</strong> gracias a su re<strong>la</strong>ción con el hombre como ser social.” 9<br />
Definiciones <strong>de</strong> <strong>la</strong> Ética Informática.<br />
La Ética <strong>de</strong> <strong>la</strong> Informática (EI) es una nueva disciplina que pret<strong>en</strong><strong>de</strong> abrirse campo<br />
<strong>de</strong>ntro <strong>de</strong> <strong>la</strong>s éticas aplicadas. El orig<strong>en</strong> remoto <strong>de</strong> <strong>la</strong> EI está <strong>en</strong> <strong>la</strong> introducción masiva<br />
<strong>de</strong> <strong>la</strong>s computadoras <strong>en</strong> muchos ámbitos <strong>de</strong> nuestra vida social. Muchas profesiones<br />
reivindican <strong>para</strong> sí una ética particu<strong>la</strong>r con <strong>la</strong> cual pue<strong>de</strong>n regirse ante los problemas<br />
morales específicos <strong>de</strong> esa profesión o actividad ocupacional.<br />
La exist<strong>en</strong>cia <strong>de</strong> <strong>la</strong> EI ti<strong>en</strong>e como punto <strong>de</strong> partida el hecho <strong>de</strong> que <strong>la</strong>s computadoras<br />
supon<strong>en</strong> unos problemas éticos particu<strong>la</strong>res y por tanto distintos a otras tecnologías. En<br />
<strong>la</strong> profesión informática se quiere pasar <strong>de</strong> <strong>la</strong> simple aplicación <strong>de</strong> criterios éticos<br />
g<strong>en</strong>erales a <strong>la</strong> e<strong>la</strong>boración <strong>de</strong> una ética propia <strong>de</strong> <strong>la</strong> profesión. Los códigos éticos <strong>de</strong><br />
asociaciones profesionales y <strong>de</strong> empresas <strong>de</strong> informática van <strong>en</strong> esta dirección.<br />
La <strong>de</strong>finición más restrictiva <strong>de</strong> <strong>la</strong> EI es consi<strong>de</strong>rar<strong>la</strong> como <strong>la</strong> disciplina que analiza<br />
problemas éticos que son creados por <strong>la</strong> tecnología <strong>de</strong> <strong>la</strong>s computadoras o también los<br />
que son transformados o agravados por <strong>la</strong> misma, es <strong>de</strong>cir, por <strong>la</strong>s personas que utilizan<br />
los avances <strong>de</strong> <strong>la</strong>s tecnologías <strong>de</strong> <strong>la</strong> información. Algunos <strong>de</strong> los autores se p<strong>la</strong>ntean si<br />
<strong>la</strong> cambiante sofisticación tecnológica p<strong>la</strong>ntea nuevos dilemas éticos o si <strong>la</strong>s cuestiones<br />
éticas permanec<strong>en</strong> constantes.<br />
Otras <strong>de</strong>finiciones <strong>de</strong> <strong>la</strong> ética informática son mucho más amplias. No se reduc<strong>en</strong> a un<br />
nuevo campo <strong>de</strong> ética aplicada sino que, por ejemplo, <strong>en</strong> el libro <strong>de</strong> James Moor 10 , <strong>la</strong><br />
ética informática es el análisis <strong>de</strong> <strong>la</strong> naturaleza y el impacto social <strong>de</strong> <strong>la</strong> tecnología<br />
7 Garza <strong>de</strong> Flores, Ética, 1993 Ed. Alhambra Mexicana.<br />
8 Lozano V, Rodríguez, Ética, Ed. Alhambra Mexicana, 1986<br />
9 Dr. Emma Godoy, ¿Qué son y <strong>para</strong> qué sirv<strong>en</strong> los valores?<br />
10 MOOR, James H., "What is Computer Ethics? Metaphilosophy, Vol. 16, No. 4,<br />
October 1985, pp. 265-275.<br />
62
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
informática y <strong>la</strong> correspondi<strong>en</strong>te formu<strong>la</strong>ción y justificación <strong>de</strong> políticas <strong>para</strong> un uso<br />
ético <strong>de</strong> dicha tecnología.<br />
La ética informática estaría re<strong>la</strong>cionada con los problemas conceptuales y los vacíos <strong>en</strong><br />
<strong>la</strong>s regu<strong>la</strong>ciones que ha ocasionado <strong>la</strong> tecnología <strong>de</strong> <strong>la</strong> información.<br />
El problema es que hay una falta <strong>de</strong> reg<strong>la</strong>m<strong>en</strong>tación <strong>en</strong> cómo utilizar estas nuevas<br />
tecnologías que posibilitan nuevas activida<strong>de</strong>s <strong>para</strong> <strong>la</strong>s cuales no hay o no se percib<strong>en</strong><br />
con c<strong>la</strong>ridad o niti<strong>de</strong>z principios <strong>de</strong> actuación.<br />
Las personas con responsabilida<strong>de</strong>s <strong>en</strong> el área <strong>de</strong> diseño o gestión <strong>de</strong> sistemas <strong>de</strong><br />
información cada vez han <strong>de</strong> tomar más <strong>de</strong>cisiones sobre problemas que no se resuelv<strong>en</strong><br />
con lo legal y lo cuasi-legal (reg<strong>la</strong>m<strong>en</strong>tos, manuales <strong>de</strong> procedimi<strong>en</strong>to <strong>de</strong> <strong>la</strong>s empresas,<br />
etc.) sino que rozan lo ético mismo.<br />
La tarea <strong>de</strong> <strong>la</strong> ética informática es aportar guías <strong>de</strong> actuación cuando <strong>la</strong> reg<strong>la</strong>m<strong>en</strong>tación<br />
es inexist<strong>en</strong>te o cuando <strong>la</strong> exist<strong>en</strong>te es obsoleta. Al vacío <strong>de</strong> políticas se aña<strong>de</strong><br />
g<strong>en</strong>eralm<strong>en</strong>te un problema <strong>de</strong> vacío conceptual. Por ello <strong>la</strong> EI también ha <strong>de</strong> analizar y<br />
proponer una marco conceptual que sea a<strong>de</strong>cuado <strong>para</strong> <strong>en</strong>t<strong>en</strong><strong>de</strong>r los dilemas éticos que<br />
ocasiona <strong>la</strong> informática.<br />
Otra <strong>de</strong>finición más g<strong>en</strong>eral vi<strong>en</strong>e <strong>de</strong> Terrel Bynum, que basándose <strong>en</strong> Moor, <strong>de</strong>fine <strong>la</strong><br />
EI como <strong>la</strong> disciplina que i<strong>de</strong>ntifica y analiza los impactos <strong>de</strong> <strong>la</strong>s tecnologías <strong>de</strong> <strong>la</strong><br />
información <strong>en</strong> los valores humanos y sociales. Estos valores afectados son <strong>la</strong> salud, <strong>la</strong><br />
riqueza, el trabajo, <strong>la</strong> libertad, <strong>la</strong> <strong>de</strong>mocracia, el conocimi<strong>en</strong>to, <strong>la</strong> privacidad, <strong>la</strong><br />
<strong>seguridad</strong> o <strong>la</strong> autorrealización personal.<br />
En este concepto <strong>de</strong> EI se quier<strong>en</strong> incluir términos, teorías y métodos <strong>de</strong> disciplinas<br />
como <strong>la</strong> ética aplicada, <strong>la</strong> sociología <strong>de</strong> <strong>la</strong>s computadoras, <strong>la</strong> evaluación social <strong>de</strong> <strong>la</strong>s<br />
tecnologías o el <strong>de</strong>recho informático.<br />
63
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Códigos <strong>de</strong>ontológicos <strong>en</strong> informática<br />
La Deontología (Del Griego Deón (<strong>de</strong>ber) y Logos (razonami<strong>en</strong>to o ci<strong>en</strong>cia): Ci<strong>en</strong>cia<br />
<strong>de</strong>l Deber), es <strong>la</strong> disciplina que trata lo concerni<strong>en</strong>te a los <strong>de</strong>beres que correspon<strong>de</strong>n a<br />
ciertas situaciones personales y sociales.<br />
Originada <strong>en</strong> <strong>la</strong>s profesiones intelectuales <strong>de</strong> antiguo orig<strong>en</strong> histórico (Derecho,<br />
Medicina) <strong>la</strong> Deontología, <strong>en</strong> particu<strong>la</strong>r, <strong>de</strong>nota el conjunto <strong>de</strong> reg<strong>la</strong>s y principios que<br />
rig<strong>en</strong> <strong>de</strong>terminadas conductas <strong>de</strong> los profesionales, ejercidas o vincu<strong>la</strong>das, <strong>de</strong> cualquier<br />
manera, al ejercicio <strong>de</strong> <strong>la</strong> profesión y a <strong>la</strong> pert<strong>en</strong><strong>en</strong>cia al respectivo grupo profesional.<br />
Las asociaciones <strong>de</strong> profesionales <strong>de</strong> informática y algunas empresas re<strong>la</strong>cionadas con<br />
<strong>la</strong> informática han <strong>de</strong>sarrol<strong>la</strong>do códigos <strong>de</strong> conducta profesional. Estos códigos ti<strong>en</strong><strong>en</strong><br />
distintas funciones:<br />
• Existan normas éticas <strong>para</strong> una profesión, esto quiere <strong>de</strong>cir que un profesional,<br />
<strong>en</strong> este caso un técnico, es responsable <strong>de</strong> los aspectos técnicos <strong>de</strong>l producto,<br />
como también <strong>de</strong> <strong>la</strong>s consecu<strong>en</strong>cias económicas, sociológicas y culturales <strong>de</strong>l<br />
mismo.<br />
• Sirv<strong>en</strong> como un instrum<strong>en</strong>to flexible, como suplem<strong>en</strong>to a <strong>la</strong>s medidas legales y<br />
políticas, ya que éstas <strong>en</strong> g<strong>en</strong>eral van muy l<strong>en</strong>tas com<strong>para</strong>das con <strong>la</strong> velocidad<br />
<strong>de</strong>l <strong>de</strong>sarrollo <strong>de</strong> <strong>la</strong>s tecnologías <strong>de</strong> <strong>la</strong> información. Los códigos hac<strong>en</strong> <strong>de</strong> <strong>la</strong> ley<br />
su suplem<strong>en</strong>to y sirv<strong>en</strong> <strong>de</strong> ayuda a los cuerpos legis<strong>la</strong>tivos, administrativos y<br />
judiciales.<br />
• Sirv<strong>en</strong> como conci<strong>en</strong>tización pública, ya que crear unas normas así, hace al<br />
público consci<strong>en</strong>te <strong>de</strong> los problemas y estimu<strong>la</strong> un <strong>de</strong>bate <strong>para</strong> <strong>de</strong>signar<br />
responsabilida<strong>de</strong>s.<br />
• Estas normas ti<strong>en</strong><strong>en</strong> una función sociológica, ya que dan una i<strong>de</strong>ntidad a los<br />
informáticos como grupo que pi<strong>en</strong>sa <strong>de</strong> una <strong>de</strong>terminada manera; es símbolo <strong>de</strong><br />
sus estatus profesional y parte <strong>de</strong> su <strong>de</strong>finición como profesionales.<br />
• Estas normas sirv<strong>en</strong> también como fu<strong>en</strong>te <strong>de</strong> evaluación pública <strong>de</strong> una<br />
profesión y son una l<strong>la</strong>mada a <strong>la</strong> responsabilidad que permit<strong>en</strong> que <strong>la</strong> sociedad<br />
sepa qué pasa <strong>en</strong> esa profesión; aum<strong>en</strong>ta <strong>la</strong> reputación <strong>de</strong>l profesional y <strong>la</strong><br />
confianza <strong>de</strong>l público.<br />
• En <strong>la</strong>s organizaciones internacionales, estas normas permit<strong>en</strong> armonizar<br />
legis<strong>la</strong>ciones o criterios diverg<strong>en</strong>tes exist<strong>en</strong>tes (o aus<strong>en</strong>tes, <strong>en</strong> su caso) <strong>en</strong> los<br />
países individuales.<br />
Los códigos son un paso <strong>en</strong> <strong>la</strong> conci<strong>en</strong>tización <strong>de</strong> <strong>la</strong>s socieda<strong>de</strong>s y organizaciones que<br />
quier<strong>en</strong> mejorar situaciones <strong>en</strong> <strong>la</strong>s que los impactos sociales <strong>de</strong>l <strong>de</strong>sarrollo tecnológico<br />
son poco percibidos. Estos ti<strong>en</strong><strong>en</strong> que evitar el duplicar lo que ya existe <strong>en</strong> <strong>la</strong> ley.<br />
64
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
La ley trata <strong>de</strong> <strong>la</strong> legalidad <strong>de</strong> <strong>la</strong>s prácticas sociales, es normativa por <strong>de</strong>finición y se<br />
impone con sanciones. Los códigos, <strong>en</strong> cambio, tratan <strong>de</strong>l comportami<strong>en</strong>to según<br />
principios éticos, su normatividad es mostrar una <strong>de</strong>c<strong>la</strong>ración <strong>de</strong> int<strong>en</strong>ciones sobre <strong>la</strong><br />
"misión" <strong>de</strong> una institución y <strong>la</strong> coerción real con que se impon<strong>en</strong> es pequeña, aunque<br />
<strong>en</strong> algunos casos se incluy<strong>en</strong> expulsiones <strong>de</strong> <strong>la</strong> asociación <strong>en</strong> cuestión.<br />
La ley es el acercami<strong>en</strong>to <strong>de</strong> más po<strong>de</strong>r normativo y asigna con c<strong>la</strong>ridad los <strong>de</strong>rechos,<br />
responsabilida<strong>de</strong>s y <strong>de</strong>beres <strong>de</strong> cada uno.<br />
Un Código <strong>de</strong> ética se suma a un cambio <strong>de</strong> actitud por parte <strong>de</strong> <strong>la</strong> sociedad, respetando<br />
el accionar <strong>de</strong> <strong>la</strong> misma.<br />
Situación actual <strong>de</strong> <strong>la</strong> ética <strong>de</strong> <strong>la</strong> informática<br />
La literatura exist<strong>en</strong>te es más sociológica que ética; es m<strong>en</strong>os prescriptiva o normativa<br />
que <strong>de</strong>scriptiva. En g<strong>en</strong>eral eva<strong>de</strong>n o son car<strong>en</strong>tes <strong>de</strong> principios <strong>de</strong> actuación o<br />
respuestas a <strong>la</strong>s preguntas "<strong>de</strong>be" (qué <strong>de</strong>bería hacer yo como persona, que <strong>de</strong>bería<br />
hacer yo y los míos como organización, qué normas sociales <strong>de</strong>beríamos promover, que<br />
leyes <strong>de</strong>bemos t<strong>en</strong>er...).<br />
El objetivo <strong>de</strong> <strong>la</strong> ética informática busca más que proponer un análisis sobre "sociología<br />
<strong>de</strong> <strong>la</strong> informática" o sobre <strong>la</strong> evaluación social <strong>de</strong> <strong>la</strong>s tecnologías (technology<br />
assessm<strong>en</strong>t), busca ir más allá <strong>en</strong> el s<strong>en</strong>tido <strong>de</strong> proporcionar medios racionales <strong>para</strong><br />
tomar <strong>de</strong>cisiones <strong>en</strong> temas <strong>en</strong> los que hay <strong>en</strong> juego valores humanos y dilemas éticos.<br />
Códigos <strong>de</strong> ética<br />
En México, exist<strong>en</strong> algunos códigos <strong>de</strong> ética sobre todo <strong>en</strong> el ámbito periodístico, <strong>en</strong> el<br />
<strong>de</strong>recho y <strong>la</strong> medicina. Sin embargo, hay instituciones educativas y empresas que se<br />
preocupan por t<strong>en</strong>er un código <strong>de</strong> ética; <strong>en</strong> cuanto a <strong>seguridad</strong> informática son muy<br />
pocos, es por eso que propondremos una código <strong>de</strong> ética <strong>para</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería.<br />
Algunos <strong>de</strong> los códigos <strong>de</strong> ética que hac<strong>en</strong> refer<strong>en</strong>cia a <strong>la</strong> <strong>seguridad</strong> informática o a <strong>la</strong><br />
informática, son los sigui<strong>en</strong>tes:<br />
65
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
• Código <strong>de</strong> Ética <strong>de</strong>l Ing<strong>en</strong>iero Mexicano (UMAI)<br />
• Código <strong>de</strong> Ética <strong>de</strong> <strong>la</strong> IEEE<br />
• American Society for Industrial Security (ASIS)<br />
• Código <strong>de</strong> Ética <strong>de</strong> <strong>la</strong> Asociación Mexicana <strong>de</strong> <strong>la</strong> Industria Publicitaria y<br />
Comercial <strong>en</strong> Internet, A. C. (AMIPCI)<br />
Se anexa el código <strong>de</strong> ética universitario, como una muestra <strong>de</strong> que <strong>la</strong> UNAM se<br />
preocupa porque <strong>la</strong> g<strong>en</strong>te que <strong>la</strong>bora <strong>en</strong> el<strong>la</strong> esté comprometida a realizar su trabajo<br />
apegado a los principios establecidos <strong>en</strong> este código <strong>de</strong> ética.<br />
Para el personal involucrado <strong>en</strong> los áreas <strong>de</strong> sistemas informáticos seguirán el<br />
CÓDIGO DE ÉTICA UNIVERSITARIO y el CÓDIGO DE ÉTICA PARA LA<br />
FACULTAD DE INGENIERIA EN EL ÁMBITO INFORMÁTICO.<br />
66
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
UNIVERSIDAD NACIONAL AUTÓNOMA DE MÉXICO<br />
A LA COMUNIDAD UNIVERSITARIA<br />
Código <strong>de</strong> ética universitario<br />
Consi<strong>de</strong>rando que <strong>la</strong> Universidad Nacional Autónoma <strong>de</strong> México, como organismo<br />
<strong>de</strong>sc<strong>en</strong>tralizado <strong>de</strong>l estado, está comprometida con una responsabilidad moral y ética <strong>en</strong><br />
el s<strong>en</strong>tido <strong>de</strong> actuar <strong>de</strong> acuerdo a normas y principios que rijan <strong>la</strong> conducta <strong>de</strong>l bu<strong>en</strong><br />
vivir <strong>de</strong> su comunidad.<br />
Que esa responsabilidad ética obliga a una continua evaluación <strong>de</strong>l comportami<strong>en</strong>to<br />
social y público <strong>de</strong> sus funcionarios y empleados, a fin <strong>de</strong> garantizar <strong>en</strong> todo mom<strong>en</strong>to<br />
el respeto al <strong>de</strong>recho y <strong>la</strong> observancia <strong>de</strong> su Normatividad evitando con ello faltas a <strong>la</strong>s<br />
normas éticas que pongan <strong>en</strong> riesgo <strong>la</strong> estabilidad <strong>de</strong> <strong>la</strong> institución.<br />
Que <strong>para</strong> fortalecer <strong>la</strong> confianza <strong>de</strong> <strong>la</strong> comunidad universitaria, así como <strong>la</strong> <strong>de</strong>l pueblo<br />
<strong>de</strong> México, es preciso adoptar medidas t<strong>en</strong>di<strong>en</strong>tes a reforzar <strong>la</strong> gran<strong>de</strong>za <strong>de</strong> <strong>la</strong><br />
institución, haciéndolos s<strong>en</strong>tir parte importante <strong>de</strong> <strong>la</strong> misma, a<strong>de</strong>más <strong>de</strong> propiciar que<br />
sus <strong>la</strong>bores evit<strong>en</strong> vulnerar los principios <strong>de</strong> una ética institucional.<br />
Se emite el pres<strong>en</strong>te Código <strong>de</strong> Ética <strong>para</strong> los funcionarios y empleados universitarios<br />
cuya implem<strong>en</strong>tación, es <strong>de</strong> trasc<strong>en</strong><strong>de</strong>ntal importancia <strong>para</strong> esta Universidad.<br />
Alcance y objetivo <strong>de</strong>l código<br />
Reg<strong>la</strong>m<strong>en</strong>tar <strong>la</strong> conducta <strong>de</strong> los funcionarios y empleados universitarios y, <strong>en</strong> g<strong>en</strong>eral, a<br />
toda persona que <strong>de</strong>sempeñe un empleo, cargo o comisión <strong>de</strong> cualquier naturaleza <strong>en</strong> <strong>la</strong><br />
administración universitaria.<br />
Principios fundam<strong>en</strong>tales<br />
67
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
I. Todo funcionario y empleado universitario consi<strong>de</strong>rará un <strong>de</strong>ber, <strong>de</strong>sempeñar su<br />
trabajo <strong>en</strong> apego a este Código <strong>de</strong> Ética.<br />
II. Todo funcionario y empleado universitario, <strong>para</strong> apoyar y promover el honor y <strong>la</strong><br />
dignidad <strong>de</strong> <strong>la</strong> institución con <strong>la</strong>s normas más elevadas <strong>de</strong> <strong>la</strong> ética <strong>de</strong>berá:<br />
a) Interesarse <strong>en</strong> el bi<strong>en</strong>estar común y aplicar sus conocimi<strong>en</strong>tos profesionales<br />
<strong>para</strong> b<strong>en</strong>eficio <strong>de</strong> <strong>la</strong> institución así como <strong>de</strong> sus integrantes.<br />
b) Desarrol<strong>la</strong>r sus <strong>de</strong>beres con honestidad e imparcialidad y servir con<br />
<strong>de</strong>dicación a sus superiores, sus empleados y a <strong>la</strong> comunidad universitaria<br />
g<strong>en</strong>eral.<br />
c) Reconocer que <strong>la</strong> trayectoria universitaria es el orig<strong>en</strong> <strong>de</strong> una disponibilidad<br />
económica que <strong>de</strong>be permitir vivir con <strong>de</strong>coro, procurando asegurar <strong>para</strong> los<br />
suyos los recursos materiales y los elem<strong>en</strong>tos morales que le sean<br />
indisp<strong>en</strong>sables <strong>para</strong> su progreso y bi<strong>en</strong>estar.<br />
d) Esforzarse por aum<strong>en</strong>tar <strong>la</strong> compet<strong>en</strong>cia y prestigio <strong>de</strong> los trabajadores y<br />
empleados universitarios <strong>en</strong> todas sus activida<strong>de</strong>s.<br />
Postu<strong>la</strong>dos<br />
I. Responsabilidad hacia <strong>la</strong> sociedad <strong>en</strong> g<strong>en</strong>eral<br />
Bi<strong>en</strong> común: Asumo un compromiso irr<strong>en</strong>unciable con el bi<strong>en</strong> común, <strong>en</strong>t<strong>en</strong>di<strong>en</strong>do que<br />
<strong>la</strong> Universidad es patrimonio <strong>de</strong> <strong>la</strong> Nación, que sólo se justifica y legitima cuando se<br />
procura ese bi<strong>en</strong> común, por <strong>en</strong>cima <strong>de</strong> los intereses particu<strong>la</strong>res.<br />
Imparcialidad: Actuaré siempre <strong>en</strong> forma imparcial, sin conce<strong>de</strong>r prefer<strong>en</strong>cias o<br />
privilegios in<strong>de</strong>bidos a persona alguna.<br />
Vocación <strong>de</strong> Servicio: Enti<strong>en</strong>do y acepto que trabajar <strong>para</strong> esta Universidad constituye<br />
al mismo tiempo el privilegio y el compromiso <strong>de</strong> servir a <strong>la</strong> sociedad, porque es el<strong>la</strong><br />
qui<strong>en</strong> contribuye a pagar mi sa<strong>la</strong>rio.<br />
Li<strong>de</strong>razgo: Promoveré y apoyaré estos compromisos con mi ejemplo personal,<br />
abonando a los principios morales que son base y sust<strong>en</strong>to <strong>de</strong> una sociedad exitosa <strong>en</strong><br />
institución or<strong>de</strong>nada y g<strong>en</strong>erosa.<br />
Dignidad con <strong>la</strong> sociedad: Respetaré <strong>en</strong> el <strong>de</strong>bate y <strong>en</strong> <strong>la</strong> toma <strong>de</strong> <strong>de</strong>cisiones, <strong>la</strong><br />
dignidad <strong>de</strong> <strong>la</strong>s personas, si<strong>en</strong>do justo, veraz y preciso <strong>en</strong> mis apreciaciones,<br />
reconoci<strong>en</strong>do <strong>la</strong> legítima diversidad <strong>de</strong> opiniones.<br />
68
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
II. Responsabilidad hacia <strong>la</strong> comunidad universitaria<br />
Honra<strong>de</strong>z: Nunca usaré mi cargo <strong>para</strong> ganancia personal, ni aceptaré prestación o<br />
comp<strong>en</strong>sación alguna a mis remuneraciones a <strong>la</strong>s que t<strong>en</strong>go <strong>de</strong>recho, <strong>de</strong> ninguna<br />
persona u organización que me pueda llevar a actuar con falta <strong>de</strong> ética mis<br />
responsabilida<strong>de</strong>s y obligaciones.<br />
Justicia: Ceñiré mis actos a <strong>la</strong> estricta observancia <strong>de</strong> <strong>la</strong> Normatividad Universitaria,<br />
impulsando una cultura <strong>de</strong> procuración efectiva <strong>de</strong> justicia y <strong>de</strong> respeto a <strong>la</strong> Institución.<br />
Transpar<strong>en</strong>cia: Acepto <strong>de</strong>mostrar <strong>en</strong> todo tiempo y con c<strong>la</strong>ridad sufici<strong>en</strong>te, que mis<br />
acciones como funcionario y empleado universitario se realizan con estricto y<br />
perman<strong>en</strong>te apego a <strong>la</strong>s normas y principios <strong>de</strong> <strong>la</strong> Institución, fom<strong>en</strong>tando su manejo<br />
responsable y eliminando su in<strong>de</strong>bida discrecionalidad.<br />
R<strong>en</strong>dición <strong>de</strong> cu<strong>en</strong>tas: Proveeré <strong>la</strong> eficacia y <strong>la</strong> calidad <strong>en</strong> <strong>la</strong> gestión <strong>de</strong> <strong>la</strong><br />
administración universitaria, contribuy<strong>en</strong>do a su mejora continua y a su mo<strong>de</strong>rnización,<br />
t<strong>en</strong>i<strong>en</strong>do como principios fundam<strong>en</strong>tales <strong>la</strong> optimización <strong>de</strong> sus recursos y <strong>la</strong> r<strong>en</strong>dición<br />
<strong>de</strong> cu<strong>en</strong>tas.<br />
Respeto: Respetaré sin excepción alguna <strong>la</strong> dignidad <strong>de</strong> <strong>la</strong> persona humana y los<br />
<strong>de</strong>rechos y liberta<strong>de</strong>s que le son inher<strong>en</strong>tes, siempre con trato amable y tolerancia <strong>para</strong><br />
toda <strong>la</strong> comunidad universitaria.<br />
Lealtad: Afirmo que todos mis actos se guían e inspiran por exaltar a <strong>la</strong> institución y a<br />
sus símbolos; así como el respeto a su Ley Orgánica y <strong>de</strong>más Normatividad que <strong>de</strong> el<strong>la</strong><br />
emana y por <strong>la</strong> más firme cre<strong>en</strong>cia <strong>en</strong> <strong>la</strong> dignidad <strong>de</strong> <strong>la</strong> persona humana.<br />
Responsabilidad: Acepto estar pre<strong>para</strong>do <strong>para</strong> respon<strong>de</strong>r <strong>de</strong> todos mis actos <strong>de</strong> manera<br />
que <strong>la</strong> comunidad universitaria y <strong>la</strong> g<strong>en</strong>te con que trato <strong>en</strong> particu<strong>la</strong>r, aum<strong>en</strong>t<strong>en</strong><br />
perman<strong>en</strong>tem<strong>en</strong>te su confianza <strong>en</strong> mí y <strong>en</strong> nuestra capacidad <strong>de</strong> servirles.<br />
Compet<strong>en</strong>cia: Reconozco mi <strong>de</strong>ber <strong>de</strong> ser compet<strong>en</strong>te, es <strong>de</strong>cir, t<strong>en</strong>er y <strong>de</strong>mostrar los<br />
conocimi<strong>en</strong>tos y actitu<strong>de</strong>s requeridos <strong>para</strong> el ejercicio efici<strong>en</strong>te <strong>de</strong> <strong>la</strong>s funciones que<br />
<strong>de</strong>sempeño, y actualizarlos perman<strong>en</strong>tem<strong>en</strong>te <strong>para</strong> aplicarlos al máximo <strong>de</strong> mi<br />
intelig<strong>en</strong>cia y <strong>de</strong> mis esfuerzo.<br />
Efectividad y Efici<strong>en</strong>cia: Comprometo <strong>la</strong> aplicación <strong>de</strong> mis conocimi<strong>en</strong>tos y<br />
experi<strong>en</strong>cias <strong>de</strong> <strong>la</strong> mejor manera posible, <strong>para</strong> lograr que los fines y propósitos <strong>de</strong> <strong>la</strong><br />
Universidad se cump<strong>la</strong>n con óptima calidad y <strong>en</strong> forma oportuna.<br />
Manejo <strong>de</strong> recursos: todos los recursos propiedad <strong>de</strong> <strong>la</strong> Universidad sin importar su<br />
orig<strong>en</strong>, los aplicaré únicam<strong>en</strong>te <strong>para</strong> <strong>la</strong> consecución <strong>de</strong> los objetivos institucionales.<br />
Calidad <strong>de</strong>l personal: Contrataré <strong>para</strong> los cargos <strong>de</strong> mi <strong>de</strong>p<strong>en</strong><strong>de</strong>ncia, sólo a qui<strong>en</strong>es<br />
reúnan el perfil <strong>para</strong> <strong>de</strong>sempeñarse con rectitud, aptitud y <strong>la</strong> actitud necesarios.<br />
69
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
III. Responsabilidad hacia los compañeros <strong>de</strong> trabajo<br />
Valor civil: Reconozco mi compromiso <strong>de</strong> ser solidario con mis compañeros y<br />
conciudadanos; pero admito mi <strong>de</strong>ber <strong>de</strong> <strong>de</strong>nunciar y evitar hacerme cómplice <strong>de</strong> todo<br />
aquel que contrav<strong>en</strong>ga los principios éticos y morales cont<strong>en</strong>idos <strong>en</strong> este instrum<strong>en</strong>to.<br />
Igualdad: Haré reg<strong>la</strong> invariable <strong>de</strong> mis actos y <strong>de</strong>cisiones el procurar igualdad <strong>de</strong><br />
oportunida<strong>de</strong>s <strong>para</strong> todos los universitarios, sin distingo <strong>de</strong> sexo, edad, raza, credo,<br />
religión o prefer<strong>en</strong>cia política.<br />
Probidad: Dec<strong>la</strong>ro que todos los recursos y fondos, docum<strong>en</strong>tos, bi<strong>en</strong>es y cualquier otro<br />
material confiado a mi manejo o custodia <strong>de</strong>bo tratarlos con absoluta probidad <strong>para</strong><br />
conseguir el b<strong>en</strong>eficio colectivo.<br />
Diálogo: Privilegiaré el diálogo y <strong>la</strong> concertación <strong>en</strong> <strong>la</strong> resolución <strong>de</strong> conflictos.<br />
70
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Código <strong>de</strong> ética <strong>para</strong> <strong>la</strong> facultad <strong>de</strong> ing<strong>en</strong>iería <strong>en</strong> el<br />
ámbito <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática<br />
1. Aplicación <strong>de</strong>l código<br />
El pres<strong>en</strong>te código <strong>de</strong> ética establece algunos puntos que regu<strong>la</strong>rán <strong>la</strong> conducta y el<br />
<strong>de</strong>sempeño profesional <strong>de</strong> <strong>la</strong>s personas <strong>en</strong>cargadas <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática <strong>de</strong> <strong>la</strong><br />
<strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería, <strong>la</strong>s cuales <strong>de</strong>sempeñan difer<strong>en</strong>tes activida<strong>de</strong>s como son<br />
administradores, monitores, auditores, analistas, <strong>de</strong>sarrol<strong>la</strong>dores, y <strong>de</strong>más expertos con<br />
conocimi<strong>en</strong>tos <strong>en</strong> <strong>la</strong> rama in<strong>de</strong>p<strong>en</strong>di<strong>en</strong>tem<strong>en</strong>te <strong>de</strong>l puesto que ocup<strong>en</strong>.<br />
2. Actitud profesional<br />
La excel<strong>en</strong>cia técnica y ética <strong>de</strong>l personal se vuelve indisp<strong>en</strong>sable <strong>para</strong> todos los<br />
profesionales <strong>de</strong> esta área, por lo que es necesario que ellos promuevan <strong>la</strong> difusión y<br />
práctica <strong>de</strong> los principios expresados <strong>en</strong> este código.<br />
El personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática ti<strong>en</strong><strong>en</strong> <strong>la</strong> obligación <strong>de</strong> regir su<br />
conducta <strong>de</strong> acuerdo a <strong>la</strong>s reg<strong>la</strong>s cont<strong>en</strong>idas <strong>en</strong> este código, <strong>la</strong>s cuales <strong>de</strong>b<strong>en</strong><br />
consi<strong>de</strong>rarse mínimas pues se reconoce <strong>la</strong> exist<strong>en</strong>cia <strong>de</strong> otras normas <strong>de</strong> carácter legal y<br />
moral que amplían el <strong>de</strong> <strong>la</strong>s pres<strong>en</strong>tes.<br />
Este código rige <strong>la</strong> conducta <strong>de</strong> todo el personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática,<br />
<strong>en</strong> sus re<strong>la</strong>ciones con el público <strong>en</strong> g<strong>en</strong>eral, con qui<strong>en</strong> presta sus servicios (usuarios) y<br />
con sus compañeros <strong>de</strong> trabajo.<br />
El personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática <strong>de</strong>be abst<strong>en</strong>erse <strong>de</strong> hacer com<strong>en</strong>tarios<br />
sobre sus compañeros <strong>de</strong> trabajo o usuarios, que perjudiqu<strong>en</strong> su reputación o el prestigio<br />
<strong>de</strong> su profesión, a m<strong>en</strong>os que se solicit<strong>en</strong> por quién t<strong>en</strong>ga un interés legítimo <strong>de</strong> ellos.<br />
3. Actitud personal<br />
El personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática así como <strong>la</strong>s personas que trabajan <strong>en</strong><br />
el área <strong>de</strong> sistemas <strong>de</strong>b<strong>en</strong> respeto a toda persona y su comportami<strong>en</strong>to tanto <strong>en</strong> lo<br />
personal como <strong>en</strong> lo social, <strong>de</strong>be at<strong>en</strong><strong>de</strong>r a <strong>la</strong> práctica <strong>de</strong> bu<strong>en</strong>as costumbres y seguir un<br />
objetivo útil. De <strong>la</strong> misma forma <strong>de</strong>b<strong>en</strong> cumplir los compromisos adquiridos por<br />
convicción propia.<br />
71
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Los <strong>en</strong>cargados <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática <strong>de</strong>b<strong>en</strong> <strong>de</strong> respetar y hacer respetar su tiempo<br />
y el <strong>de</strong> los <strong>de</strong>más, predicar con el ejemplo, poseer espíritu <strong>de</strong> servicio, habilidad <strong>para</strong><br />
comunicarse con los <strong>de</strong>más, actuar con cuidando y <strong>de</strong> manera responsable <strong>para</strong><br />
conservar <strong>la</strong> integridad física, emocional y económica <strong>de</strong> <strong>la</strong>s personas.<br />
4. Calidad profesional <strong>en</strong> el trabajo<br />
El personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática, <strong>de</strong>b<strong>en</strong> realizar un trabajo <strong>de</strong> calidad<br />
<strong>en</strong> cualquier servicio que ofrezcan.<br />
5. Pre<strong>para</strong>ción y calidad profesional<br />
Por ser <strong>la</strong> información un recurso difícil <strong>de</strong> manejar, se requiere <strong>de</strong> personal responsable<br />
que <strong>de</strong>fina estrategias <strong>para</strong> su g<strong>en</strong>eración, administración y difusión; por lo toda persona<br />
aj<strong>en</strong>a o car<strong>en</strong>te <strong>de</strong> conocimi<strong>en</strong>to respecto a <strong>la</strong> informática, computación o sistemas<br />
computacionales, que sea falto <strong>de</strong> experi<strong>en</strong>cia y capacidad necesaria <strong>para</strong> realizar éstas<br />
activida<strong>de</strong>s <strong>de</strong> manera satisfactoria y profesional, por ningún motivo podrá llevar a cabo<br />
dicha actividad.<br />
El personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática, son responsables <strong>de</strong> su propia<br />
actualización y capacitación profesional con <strong>la</strong> finalidad <strong>de</strong> que esta sea <strong>de</strong> crecimi<strong>en</strong>to<br />
perman<strong>en</strong>te.<br />
6. Práctica <strong>de</strong> <strong>la</strong> profesión<br />
El personal <strong>en</strong>cargado <strong>de</strong> <strong>la</strong> <strong>seguridad</strong> informática, <strong>de</strong>b<strong>en</strong> analizar cuidadosam<strong>en</strong>te <strong>la</strong>s<br />
verda<strong>de</strong>ras necesida<strong>de</strong>s que puedan t<strong>en</strong>erse <strong>de</strong> sus servicios, <strong>para</strong> proponer aquel<strong>la</strong>s que<br />
más conv<strong>en</strong>gan <strong>de</strong>p<strong>en</strong>di<strong>en</strong>do <strong>de</strong> <strong>la</strong>s circunstancias.<br />
72
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Responsabilidad hacia <strong>la</strong> profesión<br />
1. Respeto a sus compañeros <strong>de</strong> trabajo y a su profesión<br />
Todo el personal cuidará <strong>la</strong>s re<strong>la</strong>ciones que sosti<strong>en</strong><strong>en</strong> con sus compañeros <strong>de</strong> trabajo y<br />
colegas, buscando mejorar el ambi<strong>en</strong>te <strong>de</strong> trabajo y fom<strong>en</strong>tar el trabajo <strong>en</strong> equipo.<br />
También <strong>de</strong>berán basar su reputación <strong>en</strong> <strong>la</strong> honestidad, honra<strong>de</strong>z, lealtad, respeto,<br />
<strong>la</strong>boriosidad y capacidad profesional, observando <strong>la</strong>s reg<strong>la</strong>s <strong>de</strong> ética más elevadas <strong>en</strong> sus<br />
actos y evitando toda publicidad con fines <strong>de</strong> lucro o auto elogio.<br />
Buscarán <strong>la</strong> manera <strong>de</strong> hacer cumplir, respetar, fom<strong>en</strong>tar y adoptar los códigos <strong>de</strong> ética,<br />
cont<strong>en</strong>idos <strong>en</strong> este docum<strong>en</strong>to.<br />
2. Difusión y <strong>en</strong>señanza <strong>de</strong> conocimi<strong>en</strong>tos<br />
Los administradores, <strong>en</strong>cargados, responsables y <strong>de</strong>más personal <strong>de</strong>b<strong>en</strong> mant<strong>en</strong>er altas<br />
normas profesionales y <strong>de</strong> conducta, especialm<strong>en</strong>te al transmitir sus conocimi<strong>en</strong>tos,<br />
logrando contribuir al <strong>de</strong>sarrollo y difusión <strong>de</strong> los conocimi<strong>en</strong>tos <strong>de</strong> su profesión.<br />
3. Especialización profesional <strong>de</strong> los Administradores <strong>de</strong>l Sistema<br />
Los administradores, <strong>en</strong>cargados, y responsables <strong>de</strong>b<strong>en</strong> t<strong>en</strong>er una ori<strong>en</strong>tación hacia<br />
cierta rama <strong>de</strong> <strong>la</strong> informática, computación o sistemas computacionales, <strong>de</strong>biéndose<br />
mant<strong>en</strong>er a <strong>la</strong> vanguardia <strong>en</strong> el área <strong>de</strong> conocimi<strong>en</strong>to <strong>de</strong> su interés.<br />
4. Compet<strong>en</strong>cia profesional<br />
Es responsabilidad <strong>de</strong> los administradores, responsables y <strong>de</strong>más personal el mant<strong>en</strong>er<br />
actualizados todos los conocimi<strong>en</strong>tos inher<strong>en</strong>tes a <strong>la</strong>s áreas <strong>de</strong> su profesión así como<br />
participar <strong>en</strong> <strong>la</strong> difusión <strong>de</strong> estos conocimi<strong>en</strong>tos a otros miembros <strong>de</strong> <strong>la</strong> profesión.<br />
Es responsabilidad <strong>de</strong>l personal el informarse perman<strong>en</strong>tem<strong>en</strong>te sobre los avances <strong>de</strong> <strong>la</strong><br />
informática, <strong>la</strong> computación y los sistemas computacionales.<br />
73
5. Evaluación <strong>de</strong> capacida<strong>de</strong>s<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Los administradores, responsables y <strong>la</strong>s personas que <strong>la</strong>boran <strong>en</strong> sistemas <strong>de</strong>ntro <strong>de</strong> <strong>la</strong><br />
Institución <strong>de</strong>b<strong>en</strong> autoevaluarse periódicam<strong>en</strong>te con <strong>la</strong> finalidad <strong>de</strong> <strong>de</strong>terminar si<br />
cu<strong>en</strong>tan con los conocimi<strong>en</strong>tos sufici<strong>en</strong>tes <strong>para</strong> ofrecer un trabajo <strong>de</strong> calidad, <strong>de</strong> <strong>la</strong><br />
misma forma <strong>en</strong> caso t<strong>en</strong>er personas a su cargo <strong>de</strong>berán asegurarse <strong>de</strong> que sean<br />
evaluados sus conocimi<strong>en</strong>tos periódicam<strong>en</strong>te.<br />
6. Personal a sus servicios<br />
Los administradores <strong>de</strong> los sistemas y <strong>la</strong>s personas <strong>en</strong>cargadas <strong>de</strong>l <strong>de</strong>sarrollo <strong>de</strong><br />
sistemas <strong>en</strong> <strong>la</strong> Institución <strong>de</strong>b<strong>en</strong> realizar una supervisión <strong>de</strong>l <strong>de</strong>sempeño <strong>de</strong> <strong>la</strong>s personas<br />
que co<strong>la</strong>boran con ellos <strong>en</strong> el <strong>de</strong>sarrollo <strong>de</strong> sistemas.<br />
7. Práctica doc<strong>en</strong>te<br />
Los administradores, instructores y <strong>la</strong>s personas que pert<strong>en</strong>ec<strong>en</strong> a Institución que <strong>de</strong>n<br />
c<strong>la</strong>ses <strong>en</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería o que <strong>de</strong>n cursos <strong>de</strong>b<strong>en</strong> cumplir con su<br />
responsabilidad <strong>en</strong> asist<strong>en</strong>cia y puntualidad <strong>en</strong> el salón <strong>de</strong> c<strong>la</strong>ses.<br />
Evaluación a los alumnos<br />
Los administradores, o instructores y <strong>la</strong>s personas que pert<strong>en</strong>ec<strong>en</strong> a Institución que <strong>de</strong>n<br />
c<strong>la</strong>ses <strong>en</strong> <strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería o que <strong>de</strong>n cursos <strong>de</strong>b<strong>en</strong> comunicar los<br />
procedimi<strong>en</strong>tos <strong>de</strong> evaluación durante el tiempo que dure <strong>la</strong> <strong>en</strong>señanza, <strong>de</strong> esta misma<br />
forma <strong>de</strong>b<strong>en</strong> llevar a cabo <strong>la</strong>s evaluaciones <strong>en</strong> <strong>la</strong>s fechas <strong>de</strong>terminadas y <strong>en</strong>tregar los<br />
resultados <strong>en</strong> un tiempo a<strong>de</strong>cuado, así como también hacer una revisión total <strong>de</strong>l<br />
exam<strong>en</strong> y ac<strong>la</strong>rar todas <strong>la</strong>s dudas que result<strong>en</strong> <strong>de</strong>rivadas <strong>de</strong> su aplicación.<br />
Al impartir un curso es importante el llevar una supervisión <strong>de</strong>l <strong>de</strong>sempeño <strong>de</strong>l alumno<br />
<strong>de</strong> tal forma que se pueda establecer si los bajos resultados son resultado <strong>de</strong>l<br />
<strong>de</strong>sempeño <strong>de</strong>l alumno o <strong>de</strong>l profesor o instructor.<br />
74
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Normatividad y<br />
lineami<strong>en</strong>tos <strong>para</strong> el<br />
<strong>de</strong>sarrollo <strong>de</strong> sistemas <strong>para</strong><br />
<strong>la</strong> <strong>Facultad</strong> <strong>de</strong> Ing<strong>en</strong>iería<br />
75
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Normatividad y lineami<strong>en</strong>tos <strong>para</strong> el <strong>de</strong>sarrollo <strong>de</strong><br />
sistemas<br />
1. Importancia <strong>de</strong>l usuario<br />
El principal objetivo <strong>de</strong> los administradores, responsables y <strong>la</strong>s personas que trabajan <strong>en</strong><br />
el área <strong>de</strong> sistemas es <strong>la</strong> at<strong>en</strong>ción a<strong>de</strong>cuada al usuario, al cual se le <strong>de</strong>be brindar todo el<br />
respeto.<br />
2. Proteger el interés <strong>de</strong>l usuario<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas, <strong>de</strong>b<strong>en</strong><br />
aprovechar <strong>la</strong>s herrami<strong>en</strong>tas (software, equipo <strong>de</strong> <strong>cómputo</strong>) adquiridas por <strong>la</strong> <strong>Facultad</strong><br />
<strong>para</strong> el b<strong>en</strong>eficio <strong>de</strong> todos los usuarios. Los administradores <strong>de</strong>b<strong>en</strong> asegurarse <strong>de</strong>l bu<strong>en</strong><br />
uso <strong>de</strong> los recursos informáticos evitando el mal uso <strong>de</strong> estos, es <strong>de</strong>cir el uso <strong>para</strong> el que<br />
fueron p<strong>la</strong>neados y autorizados.<br />
3. Responsabilidad profesional<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas expresarán su<br />
opinión <strong>en</strong> los asuntos que se les hayan <strong>en</strong>com<strong>en</strong>dado, t<strong>en</strong>i<strong>en</strong>do <strong>en</strong> cu<strong>en</strong>ta los principios<br />
expresados <strong>en</strong> éste código.<br />
Deberán ser objetivos, imparciales <strong>en</strong> <strong>la</strong> emisión <strong>de</strong> sus opiniones o juicios, buscando<br />
siempre el b<strong>en</strong>eficio <strong>de</strong> <strong>la</strong> institución <strong>de</strong> sus compañeros y usuarios.<br />
4. Acceso a <strong>la</strong> información<br />
Los administradores, responsables y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas<br />
respetarán <strong>la</strong> información <strong>de</strong> carácter privado re<strong>la</strong>tiva a <strong>la</strong>s personas, cont<strong>en</strong>ida <strong>en</strong> <strong>la</strong>s<br />
bases <strong>de</strong> datos, excepto cuando se requiera una investigación por un inci<strong>de</strong>nte <strong>de</strong><br />
<strong>seguridad</strong> o una investigación <strong>de</strong> carácter legal.<br />
76
5.- Discreción profesional<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Los administradores, responsables, auditores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong><br />
sistemas ti<strong>en</strong><strong>en</strong> <strong>la</strong> obligación <strong>de</strong> guardar discreción <strong>en</strong> el manejo <strong>de</strong> <strong>la</strong> información que<br />
se les ha proporcionado <strong>para</strong> po<strong>de</strong>r prestar sus servicios. Consi<strong>de</strong>rar como confi<strong>de</strong>ncial<br />
toda <strong>la</strong> información que le ha sido confiada.<br />
Los administradores, responsables y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas<br />
<strong>de</strong>b<strong>en</strong> impedir el acceso a <strong>la</strong> información a personal sin autorización, ni utilizar <strong>la</strong><br />
información confi<strong>de</strong>ncial <strong>de</strong> los usuarios o <strong>de</strong> <strong>la</strong> Institución <strong>para</strong> b<strong>en</strong>eficio propio.<br />
6.- Honestidad profesional.<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas, ti<strong>en</strong>e prohibido<br />
modificar o alterar <strong>la</strong> información que se les ha confiado, <strong>para</strong> b<strong>en</strong>eficio propio o <strong>de</strong><br />
terceros, ni con fines <strong>de</strong> <strong>en</strong>cubrir anomalías que afect<strong>en</strong> directam<strong>en</strong>te los intereses <strong>de</strong> <strong>la</strong><br />
Institución.<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas <strong>de</strong>b<strong>en</strong> evitar<br />
participar <strong>en</strong> actos que se califiqu<strong>en</strong> <strong>de</strong> <strong>de</strong>shonestos.<br />
7. Evitar el uso equipo <strong>de</strong> <strong>cómputo</strong> y programas <strong>de</strong> <strong>la</strong> Institución <strong>para</strong><br />
b<strong>en</strong>eficio personal<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas ti<strong>en</strong>e prohibido el<br />
usar el equipo <strong>de</strong> <strong>cómputo</strong> <strong>para</strong> fines <strong>de</strong> esparcimi<strong>en</strong>to que afect<strong>en</strong> su <strong>de</strong>sempeño<br />
profesional, aún cuando t<strong>en</strong>ga <strong>la</strong> autorización <strong>para</strong> utilizar el equipo, así mismo <strong>de</strong>b<strong>en</strong><br />
impedir que personas aj<strong>en</strong>as a <strong>la</strong> Institución puedan ingresar a <strong>la</strong>s insta<strong>la</strong>ciones y<br />
utilic<strong>en</strong> el equipo y los programas <strong>de</strong>l software.<br />
8. Trato a<strong>de</strong>cuado a los usuarios y compañeros <strong>de</strong> trabajo<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas <strong>de</strong>b<strong>en</strong> tratar con<br />
respeto a todas <strong>la</strong>s personas sin t<strong>en</strong>er <strong>en</strong> cu<strong>en</strong>ta raza, religión, sexo, ori<strong>en</strong>tación sexual,<br />
edad o nacionalidad.<br />
Los jefes, directivos, y responsables <strong>de</strong> <strong>la</strong>s difer<strong>en</strong>tes divisiones, áreas o <strong>de</strong>partam<strong>en</strong>tos<br />
<strong>de</strong>b<strong>en</strong> dar a sus co<strong>la</strong>boradores el trato que les correspon<strong>de</strong> como profesionales y<br />
vigi<strong>la</strong>rán su a<strong>de</strong>cuado <strong>de</strong>sempeño.<br />
77
9. Finalización <strong>de</strong>l trabajo<br />
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Al finalizar cualquier proyecto se <strong>de</strong>be cumplir cabalm<strong>en</strong>te con todos los requisitos <strong>de</strong><br />
funcionalidad, calidad y docum<strong>en</strong>tación pactados inicialm<strong>en</strong>te, a fin <strong>de</strong> que se pueda<br />
obt<strong>en</strong>er el mayor b<strong>en</strong>eficio <strong>en</strong> <strong>la</strong> utilización <strong>de</strong> los mismos.<br />
Los administradores y <strong>la</strong>s personas que trabajan <strong>en</strong> el área <strong>de</strong> sistemas <strong>de</strong>b<strong>en</strong> cuidar que<br />
el equipo <strong>de</strong> <strong>cómputo</strong> y los programas propiedad <strong>de</strong> <strong>la</strong> Institución se conserv<strong>en</strong> <strong>en</strong> bu<strong>en</strong><br />
estado <strong>para</strong> su uso y aprovechami<strong>en</strong>to.<br />
Al concluir el trabajo <strong>para</strong> el cual fue contratado, los administradores, responsables y <strong>la</strong>s<br />
personas <strong>en</strong>cargadas <strong>de</strong>l <strong>de</strong>sarrollo <strong>de</strong> sistemas <strong>en</strong> <strong>la</strong> Institución <strong>de</strong>b<strong>en</strong> implem<strong>en</strong>tar los<br />
mecanismos necesarios, <strong>para</strong> que se t<strong>en</strong>ga <strong>la</strong> posibilidad <strong>de</strong> continuar haci<strong>en</strong>do uso <strong>de</strong><br />
los programas <strong>de</strong> aplicación, así como <strong>de</strong> <strong>la</strong> modificación y mant<strong>en</strong>imi<strong>en</strong>to <strong>de</strong> los<br />
mismos, aun cuando se aus<strong>en</strong>t<strong>en</strong> por cualquier causa.<br />
10. Desarrollo <strong>de</strong> sistemas<br />
Las personas <strong>en</strong>cargadas <strong>de</strong>l <strong>de</strong>sarrollo <strong>de</strong> sistemas <strong>en</strong> Institución ti<strong>en</strong><strong>en</strong> <strong>la</strong>s sigui<strong>en</strong>tes<br />
responsabilida<strong>de</strong>s y funciones:<br />
• Determinar perfectam<strong>en</strong>te el alcance <strong>de</strong>l sistema y los requerimi<strong>en</strong>tos necesarios<br />
<strong>para</strong> su <strong>de</strong>sarrollo.<br />
• Determinar <strong>de</strong> manera c<strong>la</strong>ra <strong>la</strong> <strong>en</strong>trega <strong>de</strong> <strong>la</strong>s difer<strong>en</strong>tes etapas <strong>de</strong> <strong>de</strong>sarrollo y<br />
establecer <strong>la</strong>s fechas y compromisos formales <strong>de</strong> <strong>en</strong>trega, <strong>de</strong> cada una <strong>de</strong> <strong>la</strong>s<br />
personas que particip<strong>en</strong> <strong>en</strong> el <strong>de</strong>sarrollo <strong>de</strong>l sistema.<br />
• Llevar a cabo <strong>la</strong>s evaluaciones <strong>en</strong> <strong>la</strong>s fechas <strong>de</strong>terminadas y <strong>en</strong>tregar los<br />
resultados <strong>en</strong> un tiempo a<strong>de</strong>cuado que permita tomar <strong>de</strong>cisiones.<br />
• Dejar siempre docum<strong>en</strong>tado el sistema <strong>de</strong>sarrol<strong>la</strong>do, con todos los <strong>de</strong>talles<br />
necesarios, <strong>de</strong> tal manera que con su consulta se conozca el funcionami<strong>en</strong>to <strong>de</strong>l<br />
sistema.<br />
• Deb<strong>en</strong> t<strong>en</strong>er <strong>la</strong> capacidad <strong>para</strong> reconocer sus fal<strong>la</strong>s <strong>en</strong> <strong>la</strong>s revisiones, hacer<br />
correcciones y ac<strong>la</strong>rar <strong>la</strong>s dudas <strong>de</strong> qui<strong>en</strong> solicito el sistema, así como proponer<br />
posibles alternativas <strong>de</strong> solución.<br />
• Comunicar los problemas que se les vayan pres<strong>en</strong>tando.<br />
78
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Glosario <strong>de</strong> términos y<br />
<strong>de</strong>finiciones<br />
79
<strong>Políticas</strong> <strong>de</strong> <strong>seguridad</strong> <strong>en</strong> <strong>cómputo</strong> <strong>para</strong> <strong>la</strong> faculta <strong>de</strong> ing<strong>en</strong>iería<br />
Glosario<br />
80