TEMA I.2

Tema 1.2

ELABORA EL PLAN DE SEGURIDAD EN COMPUTO ACORDE CON LOS RIESGOS DETERMINADOS Y ESTANDARE DE PROTECCION.

Contenidos:

A)   Analiza modelos y buenas prácticas de seguridad informática.

*ITIL:

La Biblioteca de Infraestructura de Tecnologías de Información, frecuentemente abreviada ITIL (del inglés Information Technology Infrastructure Library), es un conjunto de conceptos y prácticas para la gestión de servicios de tecnologías de la información, el desarrollo de tecnologías de la información y las operaciones relacionadas con la misma en general. ITIL da descripciones detalladas de un extenso conjunto de procedimientos de gestión ideados para ayudar a las organizaciones a lograr calidad y eficiencia en las operaciones de TI. Estos procedimientos son independientes del proveedor y han sido desarrollados para servir como guía que abarque toda infraestructura, desarrollo y operaciones de TI.

 

*COBIT:

COBIT (Control Objectives Control Objectives for Information and related Technology) es el marco aceptado internacionalmente como una buena práctica para el control de la información, TI y los riesgos que conllevan. COBIT se utiliza para implementar el gobierno de IT y mejorar los controles de IT. Contiene objetivos de control, directivas de aseguramiento, medidas de desempeño y resultados, factores críticos de éxito y modelos de madurez.

Para ayudar a las organizaciones a satisfacer con éxito los desafíos de los negocios actualmente, el IT Governance Institute® (ITGI) ha publicado la versión de COBIT® 4.1

• COBIT es un framework de Gobierno de TI y un conjunto de herramientas de soporte para el gobierno de T.I. que les permite a los gerentes cubrir la brecha entre los requerimientos de control, los aspectos técnicos y riesgos de negocio.
• COBIT hace posible el desarrollo de una política clara y las buenas prácticas para los controles de T.I. a través de las organizaciones.
• COBIT enfatiza en la conformidad a regulaciones, ayuda a las organizaciones a incrementar el valor alcanzado desde la TI, permite el alineamiento y simplifica la implementación de la estructura COBIT.

 

*SMB:

Server Message Block o SMB es un Protocolo de red (que pertenece a la capa de aplicación en el modelo OSI) que permite compartir archivos e impresoras (entre otras cosas) entre nodos de una red. Es utilizado principalmente en ordenadores con Microsoft Windows y DOS,

Los servicios de impresión y el SMB para compartir archivos se han transformado en el pilar de las redes de Microsoft, Con la presentación de la Serie Windows 2000 del software, Microsoft cambió la estructura incremento continuo para el uso del SMB. En versiones anteriores de los productos de Microsoft, los servicios de SMB utilizaron un protocolo que no es TCP/IP para implementar la resolución de nombres de dominio. Comenzando con Windows 2000, todos los productos subsiguientes de Microsoft utilizan denominación DNS. Esto permite a los protocolos TCP/IP admitir directamente el compartir recursos SMB.

SMB fue originalmente inventado por IBM, pero la versión más común hoy en día es la modificada ampliamente por Microsoft. Microsoft renombró SMB a Common Internet File System (CIFS) en 1998 y añadió más características, que incluyen soporte para enlaces simbólicos, enlaces duros (hard links), y mayores tamaños de archivo.

Hay características en la implementación de SMB de Microsoft que no son parte del protocolo SMB original.

También existe Samba, que es una implementación libre del protocolo SMB con las extensiones de Microsoft. Funciona sobre sistemas operativos GNU/Linux y en otros UNIX.

B)  ANALIZA ESTANDARES INTERNACIONALES DE SEGURIDAD INFORMATICA.

*BS 17799:

BS 17799 es un código de prácticas o de orientación o documento de referencia se basa en las mejores prácticas de seguridad de la información, esto define un proceso para evaluar, implementar, mantener y administrar la seguridad de la información.

Características
BS 17799 se basa en BS 7799-1 de control consta de 11 secciones, 39 objetivos de control y controles de 134 no se utiliza para la evaluación y el registro de esta tarde fue rebautizado con la norma ISO 27002OBJETIVO.











 

*SERIE ISO 27000:

En fase de desarrollo; su fecha prevista de publicación es Noviembre de 2008. Contendrá términos y definiciones que se emplean en toda la serie 27000. La aplicación de cualquier estándar necesita de un vocabulario claramente definido, que evite distintas interpretaciones de conceptos técnicos y de gestión. Esta norma está previsto que sea gratuita, a diferencia de las demás de la serie, que tendrán un coste.






 

*ISO.27001
La ISO 27001 es un Estándar Internacional de Sistemas de Gestión de Seguridad de la Información que permite a una organización evaluar su riesgo e implementar controles apropiados para preservar la confidencialidad, la integridad y la disponibilidad del valor de la información.
El objetivo fundamental es proteger la información de su organización para que no caiga en manos incorrectas o se pierda para siempre.

*ISO.27002
Es una guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información. No es certificable. Contiene 39 objetivos de control y 133 controles, agrupados en 11 dominios. Como se ha mencionado en su apartado correspondiente, la norma ISO27001 contiene un anexo que resume los controles de ISO 27002:2005. En España, aún no está traducida (previsiblemente, a lo largo de 2008). Desde 2006, sí está traducida en Colombia (como ISO 17799) y, desde 2007, en Perú (como ISO 17799; descarga gratuita).

*ISO.20000
La norma ISO 20000 se concentra en la gestión de problemas de tecnología de la información mediante el uso de un planteamiento de servicio de asistencia - los problemas se clasifican, lo que ayuda a identificar problemas continuados o interrelaciones. La norma considera también la capacidad del sistema, los niveles de gestión necesarios cuando cambia el sistema, la asignación de presupuestos financieros y el control y distribución del software.
La norma ISO 20000 se denominó anteriormente BS 15000 y está alineada con el planteamiento del proceso definido por la IT Infrastructure Library (ITIL - Biblioteca de infraestructuras de tecnología de la información) de The Office of Government Commerce (OGC).






























 

C) DEFINICION DEL PLAN DE SEGURIDAD INFORMATICA

*DESCRIPCION DEL PLAN DE SEGURIDAD INFORMATICA:

El plan de seguridad en desarrollo, pretende presentar la información sobre los riesgos de tecnología de información, plantear políticas de seguridad para la empresa y una serie de etapas con las cuales se llegan a implementar las restricciones y procedimientos planteados en las políticas, comprendiendo la revisión de las siguientes funciones al interior del área de sistemas:

-Políticas y procedimientos para administrar los riesgos de TI.
-Actividades de desarrollo y mantenimiento de sistemas informáticos.
-Seguridad de la información
-Administración de la seguridad de la Información.
-Aspectos de la seguridad de la información (lógica y física).
-Inventario periódico de activos asociados a TI
-Operaciones computarizadas.
-Administración de las operaciones y comunicaciones
-Procedimientos de Respaldo.

-Planeamiento para la continuidad de negocios
-  Auditoria de sistemas.

*DEFINICION DE LOS METODOS DE  SEGURIDAD A ALCANSAR EN UN PERIODO DE TIEMPO ESTABLECIDO.

Integridad

Los componentes del sistema permanecen

inalterados a menos que sean modificados por los

usuarios autorizados.

Disponibilidad

Los usuarios deben tener disponibles todos los

componentes del sistema cuando así lo deseen.

PRIVACIDAD.

Los componentes del sistema son accesibles sólo

por los usuarios autorizados.

CONTROL:

Solo los usuarios autorizados deciden cuando y

como permitir el acceso a la información.

Autenticidad

Definir que la información requerida es válida y

utilizable en tiempo, forma y distribución.

No Repudio

Evita que cualquier entidad que envió o recibió

información alegue, que no lo hizo.

Auditoria

Determinar qué, cuándo, cómo y quién realiza

acciones sobre el sistema.

*DEFINICION DE POLITICA.

·  Definición de políticas de acceso físico a equipos: Al crear perfiles se puedo establecer las diferentes categorías de acceso deseadas por ejemplo a un "empleado de mantenimiento" se le podrá restringir las áreas a las cuales tendrá acceso con horarios limitados, mientras que el perfil de usuario de un "ejecutivos administrativos" puede crearse con mayores atributos. Esto les permite a los administradores del sistema que el empleado del aseo no pueda acceder a la puerta de un área restringida en otro horario que no sea el que se le asigno en el sistema de control de acceso. Por nuestra experiencia en la implementación de nuestros sistemas de control garantizamos la perfecta instalación de nuestros equipos en cualquier tipo de puerta o portón de acceso, utilizando partes y accesorios de primera calidad de fabricante lideres a nivel mundial. Nuestros sistemas están desarrollado para utilizar los dispositivos más avanzados del mercado, por ejemplo las credenciales con las accederá a las aéreas están dotadas de un microchip inteligente en donde el o los administradores del sistema podrá almacenar la información necesaria o requerida para atribuir los accesos a cada colaborador y esto se almacena directamente en la credencial (ver productos) y adicionalmente lograr alcanzar un mayor nivel de seguridad, implementando sistemas BIOMÉTRICOS (huella dactilar, palma de la mano, iris del ojo) dando acceso en forma conjunta con la credencial inteligente(smartcard).

Control de Acceso Físico: Esta solución permite el control de los puntos estratégicos de una compañía mediante equipos que verifican la identidad de las personas en el momento de ingresar a las instalaciones. Este tipo de control maneja políticas totales o parciales de acceso, mantiene. Control de tiempo de las personas que realizan transacciones. Mediante un manejo avanzado credencialización que permite controlar, limitar, monitorear y auditar el acceso físico. Este tipo de sistema es ideal para organizaciones que desea controlar una única área restringida o múltiples puertas de acceso.

• Definición de políticas de acceso lógico a equipos: Todos trabajamos a diario con la ayuda inestimable de los ordenadores y de la informática. Por ello, cuando llegamos a nuestro puesto de trabajo, lo primero que hacemos es encender el ordenador o el portátil que nos han adjudicado, esperar a que el sistema arranque y continuar con aquel informe que debemos terminar o escribir un correo electrónico a un cliente, en definitiva, comenzamos a trabajar. Somos, por tanto, los llamados usuarios. Al acceder al sistema e introducir el correspondiente nombre de usuario y contraseña, nos identificamos y autenticamos en el sistema, y a continuación accedemos a los documentos, ficheros, aplicaciones a los que tenemos permiso de acceso, permisos que han sido implementados por otras personas, a las que llamamos administradores. Pues bien, en este artículo lo que voy a tratar es de recordar algunas de las normas habituales de seguridad respecto del acceso a los sistemas de información, especialmente el acceso por medios electrónicos. Y todo ello con el objetivo de acercarnos a la tan manida seguridad de los datos en una organización, es decir, aquel conjunto de controles que tratan de mantener la confidencialidad, la integridad y la disponibilidad de la información. Empezaremos por una definición sencilla, ¿qué es el acceso a un sistema de información? El acceso al sistema en cualquier organización es la capacidad de realizar una actividad con un recurso informático, por ejemplo, la capacidad de leer, modificar o eliminar un archivo, ejecutar un programa etc. ¿Qué tipos de accesos hay? El acceso al sistema, a los recursos de información, puede ser lógico o físico. Los controles de acceso (lógicos y físicos) se diseñan para proteger contra la entrada o el acceso no autorizado. El establecimiento de las reglas debe basarse en la premisa “está prohibido todo lo que no esté permitido explícitamente”. Comenzaremos por los controles de acceso lógico al sistema. Estos proveen un medio técnico para controlar qué información pueden utilizar los usuarios, qué programas pueden ejecutar, y las modificaciones que pueden hacer. Los controles de acceso lógico se pueden definir como las políticas, procedimientos y controles de acceso electrónico diseñados para restringir el acceso a los archivos de datos. Dichos controles pueden estar incorporados en el sistema operativo, en los programas o aplicaciones, en las bases de datos, los dispositivos de control de red etc. Los derechos de acceso, también llamados permisos o privilegios, que son otorgados a los usuarios por el administrador, determinan las acciones que pueden ejecutar, por ejemplo, leer, grabar, eliminar etc. en los archivos de los servidores. No menos importantes son los controles de acceso físico al sistema. Estos restringen la entrada y salida del personal, y a menudo, los equipos y los medios, desde un área, como por ejemplo, un edificio, un centro de proceso de datos o una sala que contenga un servidor de la red de área local (LAN). Hay muchos tipos de controles de acceso físico, que incluyen tarjetas inteligentes, llaves, barreras etc. Ya sabemos que en todas las organizaciones deben existir unos controles y unos derechos de acceso. Pero vamos al meollo de la cuestión, ¿cómo deben otorgarse estos derechos de acceso? Se deben establecer procedimientos formales para controlar la asignación de los derechos de acceso a los sistemas. El acceso físico o lógico a la información debe ser otorgado por escrito sobre la base de la necesidad de saber, y basado en los principios de menor privilegio (sólo se deben otorgar a los usuarios los accesos requeridos para realizar sus tareas) (“necesita saber, necesita hacer”) y segregación de tareas. El propietario de la información o el gerente responsable (por ejemplo, el jefe del departamento) debe ser la persona encargada entregar una autorización directamente al administrador de seguridad, documentada por escrito (en soporte físico o electrónico), para que los usuarios tengan acceso a los recursos de información. Del párrafo anterior se desprenden una serie de ideas básicas. En primer lugar, los usuarios sólo deben tener acceso autorizado a aquellos datos y recursos que precisen para el desarrollo de sus funciones. En segundo lugar, el acceso a los datos siempre debe ser autorizado por escrito. En tercer lugar, sólo los propietarios de los datos deben otorgar dichas autorizaciones. Y por último, el propietario de los datos no implementa directamente los derechos de acceso de los usuarios que dependen de él. Efectivamente, las capacidades o derechos de acceso son implementadas por el administrador de seguridad por medio del establecimiento de un conjunto de reglas de acceso que estipulan cuales usuarios (o grupos de usuarios) están autorizados para acceder a un recurso y con qué nivel (por ejemplo, lectura, grabación, borrado, ejecución), es decir, quién puede tener acceso a qué. Evidentemente, el tipo menos peligroso de acceso es el de lectura. El mecanismo de control de acceso aplica estas reglas cada vez que un usuario trata de acceder o de usar un recurso protegido. Es recomendable establecer perfiles estandarizados, según las categorías comunes de trabajos, para implementar reglas eficientes de acceso y que simplifiquen la administración de la seguridad. Asimismo, es recomendable que las políticas de control de accesos sean coherentes con la clasificación de la información, y por supuesto, con la Política de Seguridad de la Información de la organización, si es que existe. Por último, indicar que las autorizaciones de acceso deben ser evaluadas regularmente por el propietario de la información para asegurar que sean aún válidas.
• Definición de políticas para la creación de cuentas: Propósito: Dar a conocer las políticas generales para el uso de las cuentas (usuario - contraseña) de acceso a los Sistemas Web Institucionales.

Alcance: El alcance de estas políticas incluye a todo usuario de sistema Web que tenga un rol, cuyas actividades sean de administración del sistema, de gestión o cualquier otro acceso que sí esté permitido.

Política General

< !--[if !supportLists]-->· <!--[endif]-->El uso de la cuenta de usuario es responsabilidad de la persona a la que está asignada. La cuenta es para uso personal e intransferible.

< !--[if !supportLists]-->· <!--[endif]-->La cuenta de usuario se protegerá mediante una contraseña. La contraseña asociada a la cuenta de usuario, deberá seguir los Criterios para la Construcción de Contraseñas Seguras descrito más abajo.

< !--[if !supportLists]-->· <!--[endif]-->Las cuentas de usuario (usuario y contraseña) son sensibles a mayúsculas y minúsculas, es decir que estas deben ser tecleadas como están.

< !--[if !supportLists]-->· <!--[endif]-->No compartir la cuenta de usuario con otras personas: compañeros de trabajo, amigos, familiares, etc.

< !--[if !supportLists]-->· <!--[endif]-->Si otra persona demanda hacer uso de la cuenta de usuario hacer referencia a estas políticas. De ser necesaria la divulgación de la cuenta de usuario y su contraseña asociada, deberá solicitarlo por escrito y dirigido al Administrador del Sistema.

< !--[if !supportLists]-->· <!--[endif]-->Si se detecta o sospecha que las actividades de una cuenta de usuario puede comprometer la integridad y seguridad de la información, el acceso a dicha cuenta será suspendido temporalmente y será reactivada sólo después de haber tomado las medidas necesarias a consideración del Administrador del Sistema.

< !--[if !supportLists]-->· <!--[endif]-->Tipos de Cuentas de Usuario

Para efectos de las presentes políticas, se definen dos tipos de cuentas de usuario:

1. Cuenta de Usuario de Sistema de Información: todas aquellas cuentas que sean utilizadas por los usuarios para acceder a los diferentes sistemas de información. Estas cuentas permiten el acceso para consulta, modificación, actualización o eliminación de información, y se encuentran reguladas por los roles de usuario del Sistema.

2.Cuenta de Administración de Sistema de Información: corresponde a la cuenta de usuario que permite al administrador del Sistema realizar tareas específicas de usuario a nivel directivo, como por ejemplo: agregar/modificar/eliminar cuentas de usuario del sistema.

< !--[if !supportLists]-->· <!--[endif]-->Todas las contraseñas para acceso al Sistema Web con carácter administrativo deberán ser cambiadas al menos cada 6 meses.

< !--[if !supportLists]-->· <!--[endif]-->Todas las contraseñas para acceso al Sistema Web de nivel usuario deberán ser cambiadas al menos cada 12 meses.

< !--[if !supportLists]-->· <!--[endif]-->Todas las contraseñas deberán ser tratadas con carácter confidencial.

< !--[if !supportLists]-->· <!--[endif]-->Las contraseñas de ninguna manera podrán ser transmitidas mediante servicios de mensajería electrónica instantánea ni vía telefónica.

< !--[if !supportLists]-->· <!--[endif]-->Si es necesario el uso de mensajes de correo electrónico para la divulgación de contraseñas, estas deberán transmitirse de forma cifrada.

< !--[if !supportLists]-->· <!--[endif]-->Se evitará mencionar y en la medida de lo posible, teclear contraseñas en frente de otros.

< !--[if !supportLists]-->· <!--[endif]-->Se evitará el revelar contraseñas en cuestionarios, reportes o formas.

< !--[if !supportLists]-->· <!--[endif]-->Se evitará el utilizar la misma contraseña para acceso a los sistemas operativos y/o a las bases de datos u otras aplicaciones.

< !--[if !supportLists]-->· <!--[endif]-->Se evitará el activar o hacer uso de la utilidad de ?Recordar Contraseña? o ?Recordar Password? de las aplicaciones.

< !--[if !supportLists]-->· <!--[endif]-->No se almacenarán las contraseñas en libretas, agendas, post-it, hojas sueltas, etc. Si se requiere el respaldo de las contraseñas en medio impreso, el documento generado deberá ser único y bajo resguardo.

< !--[if !supportLists]-->· <!--[endif]-->No se almacenarán las contraseñas sin encriptación, en sistemas electrónicos personales (asistentes electrónicos personales, memorias USB, teléfonos celulares, agendas electrónicas, etc.).

< !--[if !supportLists]-->· <!--[endif]-->Si alguna contraseña es detectada y catalogada como no segura, deberá darse aviso al(los) usuario(s) para efectuar un cambio inmediato en dicha contraseña.

D)   ESTABLESE METICAS Y MECANISMOS DE PARA LA EVALUACION DE LOS CONTROLES IMPLEMENTADOS.

*DEFINE INDICADORES PARA EVALUAR LA EFICIENCIA DE LOS CONTROLES IMPLEMENTADOS:

La definición más usual de un indicador es: un hecho cuantificado que mide la eficacia y/o la eficiencia de todo o parte de un proceso o de un sistema (real o simulado), con referencia a una norma, un plan o a un objetivo, determinado o aceptado en un cuadro estratégico de la empresa .

Esta definición pone el acento sobre la función "medición" del indicador .

Dicha función es descrita por un modelo que integra la elaboración de la prestación en tres facetas distintasHay que tener presente que todo sistema que carezca de un subsistema de indicadores de eficiencia o de retroalimentación, probablemente tendrá una vida operacional muy corta.
DEFINE EL MODO EN QUE LOS INDICADORES SERAN MEDIDOS:

 

 

D) IDENTIFICA Y ANALIZA NIVELES DE RIESGOS EN LA ORGANIZACION

*ANALIZA COMFIGURACIONES DE SEGURIDAD EN GRUPOS Y CUENTAS DE USUARIOS EN EL SISTEMA OPERATIVO.

-CUESTIONARIOS:

se realiza siempre en función de un cuestionario, siendo éste por tanto, el documento básico para obtener la información en la gran mayoría de las investigaciones y estudios de mercado. El cuestionario es un documento formado por un conjunto de preguntas que deben estar redactadas de forma coherente, y organizadas, secuenciadas y estructuradas de acuerdo con una determinada planificación, con el fin de que sus respuestas nos puedan ofrecer toda la información que se precisa.

 

--ENTREVISTAS:

Una entrevista es un diálogo entablado entre dos,tres o más personas: el entrevistador o entrevistadores que interrogan y el/los entrevistados que contestan. La palabra entrevista deriva del latín y significa "Los que van entre sí". Se trata de una técnica o instrumento empleado para diversos motivos, investigación, medicina, selección de personal. Una entrevista no es casual sino que es un diálogo interesado, con un acuerdo previo y unos intereses y expectativas por ambas partes.

También la entrevista puede significar mucho para otras personas ya que pueden ayudar a conocer personas de máxima importancia. El Diccionario de la Real Academia Española define la palabra «entrevistar» como: la conversación que tiene como finalidad la obtención de información.^[1] La misma proviene del francés entrevoir que significa lo que se entrevé o lo que se vislumbra.

-FICHA TECNICA:

Una ficha técnica es un documento en forma de sumario que contiene la descripción de las características de un objeto, material, proceso o programa de manera detallada. Los contenidos varían dependiendo del producto, servicio o entidad descrita, pero en general suele contener datos como el nombre, características físicas, el modo de uso o elaboración, propiedades distintivas y especificaciones técnicas.

La correcta redacción de la ficha técnica es importante para garantizar la satisfacción del consumidor, especialmente en los casos donde la incorrecta utilización de un producto puede resultar en daños personales o materiales o responsabilidades civiles o penales.

Una ficha técnica puede también ser una serie de preguntas acerca de un tema específico facilitando así su reconocimiento a nivel general.

*POLITICAS APLICADAS:

-DE CUENTAS:

 

1. -El uso de la cuenta de usuario es responsabilidad de la persona a la que está asignada. La cuenta es para uso personal e intransferible.
2.  - La cuenta de usuario se protegerá mediante una contraseña. La contraseña asociada a la cuenta de usuario, deberá seguir los Criterios para la Construcción de Contraseñas Seguras descrito más abajo.
3. -Las cuentas de usuario (usuario y contraseña) son sensibles a mayúsculas y minúsculas, es decir que estas deben ser tecleadas como están.
4. -No compartir la cuenta de usuario con otras personas: compañeros de trabajo, amigos, familiares, etc.
5. -Si otra persona demanda hacer uso de la cuenta de usuario hacer referencia a estas políticas. De ser necesaria la divulgación de la cuenta de usuario y su contraseña asociada, deberá solicitarlo por escrito y dirigido al Administrador del Sistema.
6. -Si se detecta o sospecha que las actividades de una cuenta de usuario puede comprometer la integridad y seguridad de la información, el acceso a dicha cuenta será suspendido temporalmente y será reactivada sólo después de haber tomado las medidas necesarias a consideración del Administrador del Sistema.
7. -Tipos de Cuentas de Usuario
8. Para efectos de las presentes políticas, se definen dos tipos de cuentas de usuario:
9. 1. Cuenta de Usuario de Sistema de Información: todas aquellas cuentas que sean utilizadas por los usuarios para acceder a los diferentes sistemas de información. Estas cuentas permiten el acceso para consulta, modificación, actualización o eliminación de información, y se encuentran reguladas por los roles de usuario del Sistema.
10. 2. Cuenta de Administración de Sistema de Información: corresponde a la cuenta de usuario que permite al administrador del Sistema realizar tareas específicas de usuario a nivel directivo, como por ejemplo: agregar/modificar/eliminar cuentas de usuario del sistema.
11. -Todas las contraseñas para acceso al Sistema Web con carácter administrativo deberán ser cambiadas al menos cada 6 meses.
12. -Todas las contraseñas para acceso al Sistema Web de nivel usuario deberán ser cambiadas al menos cada 12 meses.
13. -Todas las contraseñas deberán ser tratadas con carácter confidencial.
14. -Las contraseñas de ninguna manera podrán ser transmitidas mediante servicios de mensajería electrónica instantánea ni vía telefónica.
15. -Si es necesario el uso de mensajes de correo electrónico para la divulgación de contraseñas, estas deberán transmitirse de forma cifrada.
16. -Se evitará mencionar y en la medida de lo posible, teclear contraseñas en frente de otros.
17. -Se evitará el revelar contraseñas en cuestionarios, reportes o formas.
18. -Se evitará el utilizar la misma contraseña para acceso a los sistemas operativos y/o a las bases de datos u otras aplicaciones.
19. -Se evitará el activar o hacer uso de la utilidad de ?Recordar Contraseña? o ?Recordar Password? de las aplicaciones.
20. -No se almacenarán las contraseñas en libretas, agendas, post-it, hojas sueltas, etc. Si se requiere el respaldo de las contraseñas en medio impreso, el documento generado deberá ser único y bajo resguardo.
21. -No se almacenarán las contraseñas sin encriptación, en sistemas electrónicos personales (asistentes electrónicos personales, memorias USB, teléfonos celulares, agendas electrónicas, etc).

-DE AUDITORIA:

Una definición podría ser la siguiente: "Se entiende por Auditoría Informática una serie de exámenes periódicos o esporádicos de un sistema informático cuya finalidad es analizar y evaluar la planificación, el control, la eficacia, la seguridad, la economía y la adecuación de la infraestructura informática de la empresa".

-RESTRICCIONES DE SOFTWARE.

Si echamos un vistazo a la política podemos ver distintos objetos de configuración, Niveles de seguridad (security levels) se refiere a los dos métodos base que existen de restricción del software. Ilimitado (unrestricted), se trata del método utilizado por defecto también conocido como blacklisting que consiste en permitir que se ejecute todo el software excepto el que se especifique como no permitido. El otro método disponible es No permitido (disallowed), que hará whitelisting es decir que solo permitirá ejecutar los programas que nosotros especifiquemos, este método es mucho mas seguro. Tras seleccionar este método los ficheros que vamos a permitir ejecutar o no según si usamos ilimitado o no permitido se filtraran mediante las Reglas adicionales (additional rules).

Editores de confianza (trusted publishers) nos permite seleccionar quien puede configurar una confianza con un determinado editor, esto es especialmente relevante a la hora de aceptar la instalación de controles ActiveX y aceptación de certificados por lo que es recomendable que solo se lo permitamos a los administradores.

Obligatoriedad (enforcement), aquí nos permite también aplicar las reglas de restricción de software también a bibliotecas DLL de forma que si estamos en modo no permitir habría que agregar esas bibliotecas. Igualmente nos permite seleccionar si se deben aplicar o no las políticas a los administradores locales.

Tipos de archivos designados (designated file types), en esta opción podemos elegir a que tipos de ficheros se aplicaran las restricciones, por defecto todos los tipos habitualmente ejecutables como .exe, .bat, .msi, .vbs… estan incluidos, podemos tanto eliminar algún tipo como incluir uno nuevo simplemente escribiendo la extensión.

Existen cuatro tipos de Reglas adicionales según el método en el que basa para asignar restricciones o excepciones, por defecto están incluidos todos los ficheros del sistema mediante varias reglas de ruta de acceso con nivel de permiso ilimitado.

Regla de certificado (certificate rule), se puede añadir un certificado firmado por el fabricante del software de forma que todo el software de ese fabricante se pueda ejecutar.

Regla de hash, se nos solicitara que apuntemos al fichero para generar un hash único que identificara al fichero, esto permitirá que se restrinja su uso independientemente de su nombre o localización, esto nos puede servir para restringir el uso de una versión concreta de un programa. Esta técnica es similar a la que usan los antivirus para localización de ficheros infectados.

Regla de zona de Internet (internet zone), este tipo de regla solo se aplica a paquetes .MSI bajados a través de Internet Explorer y restringe su uso dependiendo del tipo de zona de Internet de donde se haya descargado el fichero.

Regla de ruta (path), esta regla nos permite tanto fijar restricciones directamente para un directorio o fichero concreto como hacerlo indirectamente apuntando a una entrada del registro que a su vez referencia a una ruta de fichero o directorio como por ejemplo se puede ver en las rutas que vienen definidas por defecto.

-FIREWELL:

Un cortafuegos (firewall en inglés) es una parte de un sistema o una red que está diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas.

Se trata de un dispositivo o conjunto de dispositivos configurados para permitir, limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la base de un conjunto de normas y otros criterios.

Los cortafuegos pueden ser implementados en hardware o software, o una combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que los usuarios de Internet no autorizados tengan acceso a redes privadas conectadas a Internet, especialmente intranets. Todos los mensajes que entren o salgan de la intranet pasan a través del cortafuegos, que examina cada mensaje y bloquea aquellos que no cumplen los criterios de seguridad especificados. También es frecuente conectar al cortafuegos a una tercera red, llamada «zona desmilitarizada» o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior.

Un cortafuegos correctamente configurado añade una protección necesaria a la red, pero que en ningún caso debe considerarse suficiente. La seguridad informática abarca más ámbitos y más niveles de trabajo y protección.

-ANTIVIRUS:

Proceso recomendado para prevenir problemas de virus:

• Utilice el antivirus usado por la Universidad Latina, el antivirus soportado estará disponible dentro un sitio de la Universidad Latina. Baje e instale la última versión del antivirus, actualice al último patrón y motor disponible.
• Nunca habrá archivos o macros adjuntas a un correo de procedencia desconocida, sospechosa o fuente no confiable.Borre los archivos adjuntos inmediatamente, luego haga un doble borrado, vaciando su papelera de reciclaje.
• Borre el spam, cadenas y cualquier correo chatarra. No realice reenvío de los mismos.Leer Las Políticas de Uso Aceptable.
• Nunca descarguearchivosde sitios desconocidos o fuentes sospechosas
• Evite compartir directamente los discos del ordenador con permisos de lectura / escritura, a menos que sea extremadamente necesario por la existencia de un requerimiento del negocio.
• Siempre revise con el antivirus sus unidades de disco flexible, discos removibles o memorias flash ante de usarlas
• Respalde información crítica y configuración de sistemas en forma regular y almacene la información en un lugar seguro.

-ANTISPYREWARE:

Se define como Adware al software que despliega publicidad de distintos productos o servicios. Estas aplicaciones incluyen código adicional que muestra la publicidad en ventanas emergentes, o a través de una barra que aparece en la pantalla simulando ofrecer distintos servicios útiles para el usuario.

Generalmente, estas aplicaciones agregan iconos gráficos en las barras de herramientas de los navegadores de Internet o en los clientes de correo. Estas barras de tareas personalizadas tienen palabras claves predefinidas para que el usuario llegue a sitios con publicidad, sea lo que sea que el mismo esté buscando.

Se define como Spyware o Software Espía a las aplicaciones que recopilan información sobre una persona u organización sin su conocimiento, ni consentimiento. El objetivo más común es distribuirlo a empresas publicitarias u otras organizaciones interesadas.

Normalmente, estos software envían información a sus servidores, en función de los hábitos de navegación del usuario. También, recogen datos acerca de las webs que se visitan y la información que se solicita en esos sitios, así como direcciones IP y URLs que se navegan.

Esta información es explotada para propósitos de mercadotecnia y muchas veces es el origen de otra plaga como el SPAM, ya que pueden encarar publicidad personalizada hacia el usuario afectado. Con estos datos, además, es posible crear perfiles estadísticos de los hábitos de los internautas.

Las recomendaciones para evitar la instalación de este tipo de software son las siguientes:

1. Verifique cuidadosamente los sitios por los que navega, ya que es muy común que estas aplicaciones auto-ofrezcan su instalación o que la misma sea ofrecida por empresas de dudosa reputación.
2. Si es posible, lea atentamente las políticas de privacidad de estas aplicaciones. Generalmente incluyen puntos como "recolectamos la siguiente información del usuario" o "los daños que causa la aplicación no es nuestra responsabilidad" o "al instalar esta aplicación ud. autoriza que entreguemos sus datos a...".
3. Estas aplicaciones normalmente prometen ser barras con funcionalidades extras que se instalan sobre el explorador.
4. Actualmente, se nota una importante aparición de aplicaciones que simulan ser software anti-spyware que en realidad contiene spyware. Una lista de los mismos puede ser encontrada en la dirección que se detalla al pie del presente.
5. Cuando una aplicación intente instalarse sin que ud. lo haya solicitado, desconfíe y verifique la lista anterior.
6. Es común que los sitios dedicados al underground o pornográficos, contengan un alto contenido de programas dañinos que explotando diversas vulnerabilidades del sistema operativo o del explorador, le permiten instalarse.
7. Verificar los privilegios de usuarios. Es común que todos los usuarios que hacen uso de la computadora lo hagan con permisos administrativos. Esto no necesariamente debe ser así, es recomendable que cada usuario tenga su propio perfil, sólo con los permisos necesarios para realizar sus tareas. Ya que esto disminuye el campo de acción de un posible intruso (virus, backdoor, usuario no autorizado, etc.).
8. Estas aplicaciones evolucionan continuamente por lo que contar con un antivirus actualizado y con capacidades proactivas es fundamental para detectar estas aplicaciones y evitar su instalación.

Los programas espías son aplicaciones informáticas que recopilan datos sobre los hábitos de navegación, preferencias y gustos del usuario. Los datos recogidos son transmitidos a los propios fabricantes o a terceros, bien directamente, bien después de ser almacenados en el ordenador.
El spyware puede ser instalado en el sistema a través de numerosas vías, entre las que se encuentran: troyano, que los instalan sin consentimiento del usuario; visitas a páginas web que contienen determinados controles ActiveX o código que explota una determinada vulnerabilidad; aplicaciones con licencia de tipo shareware o freeware descargadas de Internet, etc.
El spyware puede ser instalado con el consentimiento del usuario y su plena conciencia, pero en ocasiones no es así. Lo mismo ocurre con el conocimiento de la recogida de datos y la forma en que son posteriormente utilizados.

*PERMISOS EN CARPETAS Y DOCUMENTOS COMPARTIDOS.

Compartir archivos y carpetas se puede administrar de dos formas. Si eliges el uso compartido sencillo de archivos, podrás compartir tus carpetas con cualquier persona de tu red o grupo de trabajo, o puedes privatizar tus carpetas. (Así es como se comparten las carpetas en Windows 2000). Sin embargo, en Windows XP Profesional, también puedes establecer permisos de carpeta para usuarios o grupos específicos. Para ello, en primer lugar, debes cambiar la configuración predeterminada que es uso compartido sencillo de archivos. Para cambiar esta configuración, sigue estos pasos:

Abre Panel de control, haz clic en Herramientas y, a continuación, haz clic en Opciones de carpeta.

Haz clic en la ficha Vista, y desplázate hasta la parte inferior de la lista de Configuración avanzada. Desactiva la casilla de verificación Utilizar uso compartido simple de archivos (recomendado).

Para administrar permisos de carpeta, localiza la carpeta en el Explorador de Windows, haz clic con el ratón derecho en la carpeta y, a continuación, haz clic en Propiedades. Haz clic en la ficha Seguridad y asígnale permisos, de control total, modificación, lectura o lectura y escritura, a cada uno de los usuarios. Puedes establecer permisos de archivos y carpetas sólo en las unidades formateadas para utilizar el sistema de archivos NTFS, y tu debes ser el propietario o tener permiso del propietario.

*ACTUALIZACIONES DE SISTEMAS OPERATIVOS Y APLICACIONES.}

Para tener nuestro ordenador al día es muy importante mantener todas las aplicaciones actualizadas, tanto el Sistema Operativo como los distintos programas que tengamos instalados.

Los fabricantes desarrollan continuamente parches que corrigen errores y aumentan la seguridad de las aplicaciones informáticas, pero, en muchas ocasiones, es responsabilidad del usuario el aplicar estas actualizaciones o actualizar la versión de los programas.

Vamos a repasar brevemente cómo podemos tener actualizado nuestro equipo.

Sistemas Operativos

Todos los Sistemas Operativos actuales tienen la opción de mantenerse actualizados automáticamente. Normalmente se puede configurar con qué frecuencia se buscarán las actualizaciones y en qué momento se aplicarán las mismas (para no interferir con el período de uso del equipo).

No obstante, es interesante lanzar ‘a mano’ la búsqueda de actualizaciones con cierta periodicidad. De esta manera se puede comprobar si hay algún parche, considerado no crítico, que esté pendiente de nuestra aprobación.

Aplicaciones de Microsoft

En los sistemas Windows se puede integrar la búsqueda y aplicación de actualizaciones de los productos de Microsoft junto a la actualización del Sistema Operativo. De esta forma podemos estar tranquilos, ya que todo el proceso se realizará automáticamente sin necesidad de nuestra intervención.

• Los equipos con Windows XP tienen que visitar Microsoft Update para activar esta característica
• Los equipos con Windows Vista o Windows 7 se configuran desde el complemento Windows Update

Adobe Reader

Este visor está instalado en la mayoría de los equipos y, últimamente, está siendo uno de los programas más utilizados para lanzar ataques informáticos.

Es muy importante comprobar que contamos con la última versión del programa. Para ello:

• accedemos a la opción ‘Acerca de Adobe Reader…‘ en el menú Ayuda para averiguar la versión que tenemos instalada
• y desde la página de descarga comprobamos si necesitamos instalar la última versión de la aplicación

Con la última versión instalada, tendremos que dedicar unos minutos a su configuración. En la gestión de Preferencias habría que:

• activar la actualización automática del producto
• desactivar JavaScript

Adobe Flash

Otro producto de Adobe omnipresente en la mayoría de equipos. Esta extensión para los navegadores también está sufriendo el acoso por parte de los delincuentes informáticos.

Se recomienda acceder periódicamente a la página que nos muestra qué versión tenemos instalada y cuál es la última versión disponible, para ver si es necesario actualizar el producto:

http://www.adobe.com/software/flash/about/

Flash se distribuye en 2 formatos: uno para Internet Explorer y otro para el resto de navegadores. Es imprescindible, pues, visitar la página anterior con todos los navegadores que utilicemos.

Navegadores: Firefox, Chrome, Safari, …

Los navegadores quizás sean las aplicaciones más utilizadas hoy en día. Es muy importante tener las últimas versiones de estos productos, ya que son la puerta de entrada de la mayor cantidad de malware.

El navegador Internet Explorer se actualiza automáticamente con el sistema Windows. El resto de navegadores tienen su propia gestión de actualizaciones.

Se recomienda revisar la configuración para que se actualicen automáticamente sin necesitar de la intervención del usuario.

Otras aplicaciones

Es conveniente dedicar unos momentos a revisar la configuración de todas las aplicaciones que tengamos instaladas. La opción preferible es que la búsqueda de las actualizaciones se realice de manera automática.

En algunos casos los fabricantes mantienen distintas versiones de sus productos, dando soporte temporal a las versiones antiguas. Normalmente, en estos casos, tendremos que revisar manualmente si contamos con la última versión.

Para que no tengamos que estar pendientes de cuándo es necesario actualizar nuestras aplicaciones, una opción muy interesante es suscribirse a una lista de correo en las que seamos informados de estos temas. Os recomendamos las listas de Avisos de Seguridad gestionadas por el INTECO.

*RESPALDO DE INFORMACION.

Definición de respaldo de información

La palabra "Backup" significa subir respaldo, siendo común el uso de este término dentro del ámbito informático. El respaldo de información es la copia de los datos importantes de un dispositivo primario en uno ó varios dispositivos secundarios, ello para que en caso de que el primer dispositivo sufra una avería electromecánica ó un error en su estructura lógica, sea posible contar con la mayor parte de la información necesaria para continuar con las actividades rutinarias y evitar pérdida generalizada de datos.

Importancia del respaldo de información

La importancia radica en que todos los dispositivos de almacenamiento masivo de información tienen la posibilidad de fallar, por lo tanto es necesario que se cuente con una copia de seguridad de la información importante, ya que la probabilidad de que 2 dispositivos fallen de manera simultánea es muy difícil.

Métodos para el respaldo de información

• Manual: el usuario copia directamente los archivos a respaldar por medio de comandos ó por medio del explorador de archivos de su respectivo sistema operativo.

Otra forma de realizar las copias de seguridad es por medio de una aplicación que permita la creación de la copia al momento y con los datos existentes hasta ese momento, regularmente los datos se almacenan en forma de archivos comprimidos para ahorrar espacio. Ejemplo Microsoft® Copia de Seguridad.

• Automático: por medio de una aplicación especializada, el usuario programa los archivos a guardar y este respaldo se va actualizando en tiempo real (simultáneamente), conforme se van registrando cambios en los archivos. Ejemplo Computer Associates® Survive IT.

Dispositivos y servicios para respaldo de información

Conforme aumenta la capacidad de almacenamiento de los dispositivos de información, también los usuarios tienden a necesitar guardar mayores cantidades de datos (videos, música, archivos de Office, imágenes, etc.). En el caso de las empresas que manejan grandes volúmenes de información, siempre ha sido necesidad el respaldo (bases de datos de sus empleados, reportes de ventas, clientes de correo electrónico, etc.), lo que para ellos es crucial. Un problema del respaldo, es que si no se tiene cuidado con la copia de seguridad, este puede ser utilizado por otras personas para crear nuevas copias y así hacer mal uso de la información. Entre los dispositivos y servicios para respaldo de información están los siguientes:

Cintas de almacenamiento: son los dispositivos por excelencia que mas se habían utilizado, debido a su bajo costo y  gran capacidad de almacenamiento, aunque su lentitud era la desventaja. Desde el dispositivo de almacenamiento principal, se copian los archivos hacia la unidad que escribe/lee las cintas.

 E) IDENTIFICAR RIESGOS FISICOS EN LA ORGANIZACION APLICADAS A EQUIPOS DE COMPUTO Y COMUNICACIONES.

*CONTROLES DE ACCESO.

Los sistemas de control de acceso son la tecnología con más demanda en el mercado actual, hemos migrado de sistemas mecánicos y con personal especializado, a tener procesos de control de entrada y salida completamente automatizados con diferentes tipos de tecnologías y dispositivos. Es importante realizar un estudio adecuado, segmentando las zonas, los grupos de acceso, los horarios permitidos, el nivel de acceso de cada usuario, medir la cantidad de personas o carros que transitan por cada zona y establecer claramente los objetivos de cada control de acceso.
Es importante el estudio y diseño previo a cualquier instalación y puesta en marcha de un proyecto de seguridad y control de acceso. Una adecuada integración de los dispositivos electrónicos con los dispositivos electromecánicos permitirá incluso reducir drásticamente los costos de personal y totales del proyecto, haciendo incluso que un sistema de control de accesos se pueda pagar literalmente solo en un tiempo muy corto.



 

*PROTECCION CON FALLA ELECTRICA.

Una tormenta electrica suele ser sinónimo de cortes de luz y la proteccion contra picos y fallas de energía es importante para tus aparatos eléctricos.

El consejo ma sbasico es que apenas uno vea rayos en el cielo desenchufe todos los aparatos electronicos de la casa.

Entre ellos , la PC, es uno de los más frágiles ante cortez abruptos de electricidad y golpes de tensión.

Conviene tener en cuenta algunos consejos que sirven para tener proteger tu computadora.

Para mantenerla existen tres tipos de dispositivos:

• Las UPS
• Los estabilizadores de tensión
• Las zapatollas con fusible

Las UPS (Fuente Ininterrumpida de Poder)

Es un equipo electronico que controla la tension electrica, suministra energia y potencia cuando sucede una interrupcion del suministro norma de electricidad.

Permite continuar trabajando con la PC durante algunos minutos (entre 5 y 15 min. aprox.).Ese tiempo es suficiente para que almacenen los archivos que estaban abiertos,cierre los programas y apague la PC correctamente.

Los estabilizadores

La funcion principal de los estabilizadores es mantener la corriente en un nivel constante de 220w con una variacion de mas o menos 5/10 %, segun el modelo.

Las zapatillas con fusible

Son la opcion más ecónomica (un promedio de $30), pero no las más confiables, por que no vienen con tensionregulada. Es decir que cuando se producen picos de energía, el fusible se quema y hay que reemplazarlo.

El modem

El modem por su parte, es proclive a sufrir las consecuencias de una descarga y esto sucede a travez del cable telefónico.Otro artefacto vulnerable es el router, para conexiones de red e inalambricas, que suelen entregarse en comodato a los usuarios.

                                               

 *PROTECCION CONTRA DESASTRES.

Existen distintos tipos de peligros en cuanto a seguridad física se menciona como por ejemplo:

*Desastres Naturales

*Hardware

*Altas y bajas de luz

Y no esta de más mencionar que también la perdida de la información o daños al sofwere son problemas que pueden surgir en un Centro de Cómputo.

**Desastres Naturales**

En este se engloban los más comunes que son terremotos (teblores), temblores eléctricas, inundaciones (humedad), entre otros más, aunque los más comunes son los ya mencionados.

La aplicación de la seguridad contra estos desastres naturales sería, en el caso de los temblores, tener bien protegido el equipo de computo, preferentemente que se encuentre en un lugar seguro donde no se pueda caer.

La seguridad contra tormentas electricas; contar con buenas NO-BREK o supresores de picos o reguladores, todo esto para proteger la información de las máquinas y que no se dañe el equipo.

La seguridad conta las indundaciones (humedad); tener muy bien inpermeabilizado el local donde tendremos nuestro centro de cómputo y además contar con protectores para las máquinas para tenerlas protegidas en todo momento.

 

*ADMINISTRACION DE SOFTWARE DE LA ORGANIZACION.

La primera etapa de un proyecto de software implica redactar una propuesta para realizar ese proyecto. La propuesta describe los objetivos del proyecto y cómo se llevará a cabo. La misma incluye estimado de costo y calendarización. Justifica por qué el contrato del proyecto se le debe dar a una organización o a un equipo en particular. La planeación de proyectos se refiere a la identificación de actividades, hitos y entregas producidas por un proyecto. Por lo tanto se debe bosquejar un plan para guiar el desarrollo hacia las metas del proyecto. La estimación del costo es una actividad relacionada que se refiere al estimado de los recursos requeridos para llevar a cabo el plan del proyecto.

La supervisión del proyecto es una actividad continua. El administrador debe tener conocimiento del progreso del proyecto, y comparar los progresos y costos reales con los planeados. A parte de los mecanismos formales, la supervisión informal continua predice problemas importantes del proyecto y revela dificultades en su momento. Por ejemplo estas entrevistas informales diarias pueden exteriorizar un problema en una falla del software. Más que esperar un informe de atraso del proyecto, el administrador podría asignar un experto para resolver el problema o podría decidir si ese problema se vuelve a calendarizar.

La administración de software abarca la planeación, calendarización, administración de riegos, manejo del personal, estimación de los costos de software y la administración de calidad. En este artículo se cubre la administración de riesgos y el manejo del personal. Muchas son las causas para el fracaso de proyectos de software, se pueden mencionar: entrega tardía, no fiable, costo superior al estimado, características de ejecución pobres. Muchas veces la falla estaba en el enfoque de administración utilizado.

Administración de Riesgos

Una tarea muy importante del administrador de proyectos es anticipar los riesgos que podrían afectar la programación del proyecto o la calidad del software a desarrollar y emprender acciones para evitar esos riesgos. Los resultados de este análisis de riesgos se deben documentar a lo largo del plan del proyecto junto con el análisis de consecuencias cuando el riesgo ocurra. Identificar estos y crear planes para minimizar sus efectos en el proyecto se llama administración de riesgos. La metodología del Proceso Unificado de Desarrollo brinda una estructura que permite caracterizar un riesgo:

• Nombre del Riesgo.
• Magnitud.
• Descripción.
• Impacto.
• Indicador.
• Estrategia de Anulación.
• Estrategia de Mitigación.
• Plan de Contingencia.

Como se aprecia se define el nombre del riesgo, la magnitud representa su peligrosidad (Grave, Moderado o Leve), también existe una descripción del mismo, su impacto en el proyecto; el indicador que lo señala. Se cuenta con una estrategia de anulación que persigue reducir la probabilidad de que el riesgo surja; así como una estrategia de mitigación que significa reducir el impacto del mismo; en el caso que esta última no sea efectiva, se cuenta con un plan de contingencia.

De forma simple, se puede concebir un riesgo como una probabilidad que una circunstancia adversa ocurra. Los riesgos son una amenaza para el proyecto, para el software que se está desarrollando y para la organización. Estas categorías de riesgo se definen como se muestra a continuación:

• Riesgos del proyecto: afectan la calendarización o los recursos del proyecto.
• Riesgos del producto: afectan la calidad o desempeño del software que se está desarrollando.
• Riesgos del negocio: afectan a la organización que desarrolla el software.

Por supuesto esta clasificación no es única, un riesgo puede abarcar varios puntos señalados anteriormente. Ejemplo de ello puede ser el riesgo: programador experto abandona el proyecto, es un riesgo para el proyecto pues puede retrazar la entrega del sistema; es un riesgo del producto debido a que un sustituto puede no ser tan experto y cometa muchos errores; y para el negocio porque esa experiencia puede no contribuir a negocios futuros.