CAPITULO 5

Contenido

Hablaremos de las prácticas comprendidas en la entrega y el soporte de los servicios de TI, garantizando al interior de la organización la prestación del nivel de servicio requerido por los usuarios y los objetivos del negocio.

Entre los temas clave de esta sección se encontrarán:

• la gestión de las operaciones de los SI
• los acuerdos de los niveles de servicio o SLA
• la gestión financiera y de capacidad
• la gestión de la continuidad del servicio de TI

1.Gestión de sistemas de información:

1.Gestión de sistemas de información:

actividades para asegurar que las operaciones tengan los recursos adecuados para su ejecución, que estas operaciones han sido planificadas eficientemente y que están siendo monitoreadas para verificar el uso adecuado de los recursos anteriormente asignados.

2.Operaciones de los sistemas de información:

propiamente dicha es el elemento más importante de la gestión de operaciones. Busca asegurar que los programas operen según se requiera, en los horarios adecuados, dentro de una infraestructura de red conveniente, con el hardware recomendado –asegurándose que los cambios que sufra no afecte la continuidad de las operaciones-, cumpliendo con los niveles de servicio establecidos de acuerdo a las necesidades de negocio, manteniendo reportes de las operaciones con fines de auditoría, resolviendo los problemas e incidentes que pudiesen sucederse durante la realización de las operaciones, entre otros.

2.Operaciones de los sistemas de información:

3.Funciones de seguridad de información:

3.Funciones de seguridad de información:

principalmente están referidas aquí las actividades que permitan asegurar la confidencialidad, integridad y disponibilidad de los datos manipulados por los SI. Igualmente, se incluyen las funciones de monitoreo de la seguridad de la infraestructura sobre la que operan dichos sistemas, los procesos de actualización de los parches de seguridad de los SI y a resolución de los problemas e incidentes de seguridad –desde la detección de vulnerabilidades internas y externas, su resolución, la detección de intrusiones y el control de acceso físico y lógico a los recursos computarizados-. Con mayor detalle se tratarán estos temas en el próximo capítulo.

Servicios principales de soporte

Nivel de Servicio

La gerencia técnica es eminentemente prestadora de servicios a los usuarios finales de la organización, los que hacen las veces de [sus clientes].

La gestión de los niveles de servicio se encargará de documentar y administrar los distintos niveles establecidos a la vez que llevará cuenta de los costos incurridos en la prestación de los servicios en la organización, el grado de satisfacción y las necesidades de mejora. Algunas de las características usadas para la entrega de los servicios – y que deberían estar presentes en los SLA – son: exactitud (brindar el servicio que se ha querido y no otro), integridad (brindar el servicio que se ha requerido de forma completa), puntualidad (brindar el servicio en los plazos de tiempo acordados) y seguridad (proteger los activos de información involucrados en la prestación del servicio).

Operaciones de infraestructura

Como ya se ha hecho mención, las operaciones de TI engloban aquellas actividades cotidianas que respaldan el accionar de los sistemas, aplicaciones y datos manejados por la organización. Un aspecto fundamental es reconocer que son los operadores / usuarios de los sistemas, los responsables del manejo correcto de los mismos en condiciones normales, es decir, asumiendo la no existencia de errores en los SI. Para que las tareas del operados sean cumplidas, deben seguir los procedimientos determinados y documentados por la gerencia de Sistemas / Informática / TI, incluyendo los procedimientos para el reporte de fallas, demoras y recuperación de errores. A continuación se presentan algunos tipos particulares de operaciones.

Ejemplo de red empresarial

Modelo OSI

Protocolos de comunicación LAN

Son las reglas y procedimientos que se utilizan en una red para establecer la comunicación entre los nodos que la conforman. Los protocolos más comúnmente utilizados en las redes son Ethernet, Token-Ring y ARCNET. Cada uno de estos protocolos está diseñado para cierta clase de topología de red y presentan algunas características generales tales como:

• Ethernet: actualmente es el protocolo más sencillo y es de bajo costo. Utiliza la topología de bus lineal.
• Token Ring: el protocolo de red IBM es el Token ring, el cual se basa en la topología de anillo.
• ARCNET: se basa en la topología de estrella o estrella distribuida.

Componentes de las redes LAN

• Repetidores: extienden el alcance de la red o conectan segmentos separados.
• Hubs: dispositivos que expanden y conectan nodos, nonnalmente usados como centros de redes estrella.
• Bridges: dispositivos que conectan LANs entre sí.
• Switches: dividen e interconectan segmentos de red, reduciendo colisiones.
• Routers: conectan físicamente segmentos de red; revisando las direcciones IP, enrutan los mensajes mandados por los mejores caminos.

Componentes de las redes LAN(2)

• Gateways: convertidores de protocolos de comunicación.
• Módems: son equipos que penniten a las computadoras comunicarse entre sí a través de líneas telefónicas; modulan y desmodulan las señales telefónicas en señales electrónicas para que puedan ser procesadas por las computadoras de la red. Los rnódems pueden ser externos (un dispositivo de comunicación) o interno (dispositivo de comunicación interno o tarjeta de circuitos que se inserta en una de las ranuras do expansión de la computadora).

Esquema de Red WAN

Técnicas de transmisión de mensajes en las redes WAN

• Conmutación de mensajes: envía el mensaje completo al concentrador, el cual lo almacena y manda cuando encuentre una ruta disponible al destino. El costo de la transmisión dependerá íntegramente de la longitud del mensaje completo.
• Conmutación de paquetes: se parte el mensaje en paquetes, dirigiéndolos individualmente dependiendo de la disponibilidad de los canales de transmisión.

Técnicas de transmisión de mensajes en las redes WAN(2)

• Conmutación de circuito: se establece el canal físico entre los equipos de red. Los propietarios usan el canal en exclusiva. La red no provee por sí sola, control de errores requiriendo entonces de otros mecanismos de control de acceso, colisiones, latencia, etc.
• Circuitos virtuales: el canal entre los dispositivos es lógico (por ejemplo inalámbrico).

Componentes de las redes WAN

Todos los componentes usados para las redes LAN también son compatibles

• Switches: para la conmutación dedicada encargado de solucionar problemas de las transmisiones.
• Routers: conexión de diversos segmentos dentro de una red interna O entre una red interna y una externa (Extranet)
• Servidores de acceso.
• Multiplexores.

Componentes de las redes WAN(2)

• Modems: hacen posible el uso de dispositivos analógicos para la transmisión de señales digitales mediante la división en bits del lado del emisor y su posterior reagrupamiento del lado del receptor. Tienen dos modos de transmisión
• Asíncrona: transmisión indica inicio y fin byte por byte.
• Síncrona: transmisión de todo el mensaje sin interrupciones, a velocidad constante.

Tecnologías de comunicación WAN

Algunas de las tecnologías usadas para la administración de los enlaces de comunicación en las redes WAN, son enumerados a continuación:

• Protocolo punto a punto: trabaja a nivel de la capa 2 de enlace OSI, proveyendo una única ruta de comunicación preestablecida desde el cliente hasta una red remota usando por ejemplo, la red de alguna compañía telefónica.
• Estándar X.25: define la manera en que las conexiones de los terminales de datos y del circuito, se mantienen para un acceso remoto y para conexión entre redes públicas de datos.
• Retransmisión de tramas o frame relay: versión más eficiente del estándar X.25 y que funciona en las capas superiores del modelo, controlando mejor los errores en la transmisión de datos.

Tecnologías de comunicación WAN

• Red digital de servicios integrados (ISDN): ISDN es una implementación de conmutación de circuitos en donde ya se «permite» transmisión de voz, datos y video integrados a través de las líneas portadoras públicas digitales.
• Modo de transmisión asíncrona (ATM): es una implementación del modo de conmutación de paquetes que opera en la capa 2 de enlace de datos, considerado adecuado para las líneas dedicadas aunque algo caro de implementar en redes WAN.
• Líneas digitales de abonado: uso de una tecnología de módem a través de líneas telefónicas, comúnmente brindado por un proveedor de servicios de Internet y que transmite datos en banda ancha, incluyendo multimedios.

Dentro de sus tipos se pueden hallar:

• VPN de acceso remoto: usuarios móviles interconectados con la WAN.
• VPN Intranet: interconexión de sucursales de la organización.
• VPN Extranet: acceso limitado de externos (socios estratégicos, clientes).

Las VPN permiten más que nada la expansión de la red corporativa de las empresas a costos moderadamente bajos y con ratios seguros de efectividad en la transmisión, consiguiendo que usuarios remotos tengan acceso a aplicaciones de negocio en ambientes seguros.

Redes inalámbricas de área amplia - WWAN

La tendencia en cuanto a este tipo de redes es a formarlas de área amplia (o WWAN) empleando tecnologías como radio, satélite y telefonía móvil; especialmente ha sido elegido por las empresas cuando sus empleados están en constante movimiento y requieren de acceso a los sistemas organizacionales, así como en medios rurales en donde el proceso de cableado sería oneroso.

Redes inalámbricas de área local - WLAN

A diferencia de una LAN convencional, las WLAN permiten la unión de dispositivos entre sí usando un único punto de acceso (o hub) el cual conecta los adaptadores inalámbricos de los mencionados dispositivos; además, se acomodan a los más variados estándares siendo el más conocido de ellos el estándar IEEE 802.11.

Un tipo aun más limitado es el de las denominadas redes inalámbricas personales o VPANs, que unen los dispositivos separados por pequeñas distancias y que son de uso -normalmente- de una sola persona, para lo cual emplea el estándar Bluetooth. Este estándar tiene un alcance de conexión de hasta 15 metros y se ha convertido en característico de aparatos tales como PDAs, celulares, teclados, mouse, impresoras, escáneres, así como las notebooks, entre otros. Bluetooth permite velocidades altas de transmisión de datos.

Protocolos de comunicación en redes inalámbricas

Las tecnologías más usadas para el caso de las redes inalámbricas WAN o LAN son las de la familia IEEE 802.11 como ya se ha mencionado [Stalling, 2005]. En cuanto a las técnicas de encriptación se han venido usando:

• WEP: Wired equivalent privacy que usa claves de transmisión simétricas privadas, que no se modifican durante el proceso (tanto la NIC del usuario como el hot spot o punto de acceso tienen la misma clave) lo que hace que sea fácilmente penetrable.

Protocolos de comunicación en redes inalámbricas(2)

• WPA: Wi-Fi protected access que usa el protocolo de Integridad de Clave Temporal (TKIP - Temporal Key Integrity Protocol), que cambia claves dinámicamente a medida que el sistema es utilizado. Cuando esto se combina con un vector de inicialización mucho más grande, evita los ataques de recuperación de clave (ataques estadísticos) a los que es susceptible WEP.

En cuanto a los protocolos, el protocolo WAP es el utilizado para comunicar a la Internet con dispositivos móviles inalámbricos (PDAs y teléfonos celulares)

Riesgos asociados a las redes inalámbricas

Las redes inalámbricas están expuestas a los mismos riesgos que cualquier otro tipo de red y adicionalmente a algunos propios:

• Intercepción de información sensible por las debilidades de los protocolos o la falta de encriptación [Earle, 2006].
• Mal uso, pérdida y robo de dispositivos.
• Perdida de datos contenidos en los dispositivos.
• Posibles efectos del uso de dispositivos (inalámbricos) sobre la salud de los usuarios.
• Proceso de autenticación de usuario inalámbrico.
• Condiciones de seguridad física y lógica de los archivos almacenados en los dispositivos de las redes inalámbricas, y de la información en transmisión.
• Mecanismos de encriptación débiles.

El Protocolo TCP/IP

El protocolo de comunicaciones estándar usado en Internet para la transmisión de datos es el denominado TCP/IP, que permite la comunicación misma y el soporte a las aplicaciones que

corren en la red

El Protocolo TCP/IP

Envío de datos entre diferentes países

Serias consideraciones deben tenerse en cuenta cuando la Internet «conecta» computadoras de diferentes países por las que fluyen datos, pues las diferentes infraestructuras, complejidades, niveles de seguridad, marcos legales y regulatorios, entre otros, varían de país en país poniendo en variados riesgos a todo el proceso de transmisión de información

Terminología General

Es imprescindible que el auditor conozca y comprenda los principales elementos que intervienen en el proceso de administración y uso de Internet, por lo que debe profundizar sus conocimientos sobre los conceptos que son de uso común. Como por ejemplo:

Terminología General

Cliente - Servidor

En esta arquitectura, la red funge de servidor o fuente de servicios, mientras que el resto de los equipos actúan como clientes, posee las siguientes ventajas:

Distribución de la carga de trabajo

Ejecución de trabajo en el cliente

Ejecución eficiente de las aplicaciones

Intercambio de datos en ambientes controlados

Middleware

Permite la comunicación entre clientes y servidores, a la vez que realiza algunas otras tareas específicas avanzadas como balanceo de carga, detección de fallas de transmisión, manejo de listas de espera para la atención de peticiones, entre otras

Middleware

Computación por demanda

La computación por demanda ODC (por las siglas del inglés On-Demand Computing) es un modelo por el cual los recursos de los SI son asignados a los usuarios en la medida a sus necesidades actuales

Aspectos fundamentales en la administración

Monitoreo de la red

Administración de fallas

Administración de la configuración

Administración de usuarios

Gestión del desempeño

Gestión de la seguridad

Herramientas para administración de redes

Estas herramientas pueden ser propias de los sistemas operativos de red, de los controladores que traen consigo los dispositivos instalados en la red o adquiridos por la gerencia técnica de manera independiente

Áreas a revisar

Observación al personal de sistemas de información: supervisión y conocimientos

Acceso de los operadores: niveles de acceso Manuales del operador

Acceso a la biblioteca

Procedimiento para el manejo de archivos

Procedimiento para introducción de datos

Procedimiento de las operaciones

Aspectos incluidos

Revisión de los procesos de registro de problemas

Revisión de los registros de desempeño para la resolución de problemas

Estadísticas de problemas recurrentes

Estadísticas de tiempo, costos

Recursos involucrados en la resolución de problemas

Aspectos a revisar

Planes y procesos de adquisición de hardware.

Procedimientos de gestión de capacidad y desempeño de hardware, los cuales guardan relación con los reportes de incidentes

Programa de mantenimiento preventivo

Gestión de la disponibilidad de hardware e informes (ratios) de utilización de recursos: en el subapartado siguiente se ahonda sobre este tema

Aspectos contractuales para la prestación del servicio de mantenimiento y soporte cuando es brindado por terceros

Proceso de administración de los cambios dentro de la infraestructura de hardware

Auditoría de disponibilidad de hardware

Revisión de los planes de monitoreo de desempeño de hardware

Revisar cronogramas de mantenimiento preventivo y correctivo

Revisión y análisis de los reportes de utilización

Auditoría al programa de mantenimiento de hardware

El auditor rebe revisar la existencia y aaplicación de un programa de mantenimiento de hardware

Los auditores deben verificar igualmente el cumplimiento, aprobación y formulación del plan de mantenimientos

Auditoría a los sistemas operativos

Procesos de selección de los sistemas operativos y su alineación a los objetivos de SI

Evaluación de los procesos de instalación, actualización y el control de cambio de los sistemas operativos

Evaluación del proceso de mantenimiento de los sistemas operativos, incluyendo el tema del licenciamiento y sus renovaciones con los proveedores respectivos

Evaluación del proceso de uso y mantenimiento de sistemas operativos con licencia libre

Auditoría a las bases de datos

Como en el caso de los sistemas operativos, las evaluaciones de las bases de datos pueden ser muy amplias pero normalmente son alrededor de la eficiencia/eficacia de la estructura de la base de datos o sobre las medidas de seguridad y protección que, sobre ella, se han establecido.

Auditoría de cumplimiento legal sobre licenciamiento de software

Revisar las políticas y procedimientos que protejan a la organización de un uso no autorizado de un software en particular o su copiado ilegal.

Revisar los contratos de adquisición de software para verificar la naturaleza del proceso de licenciamiento y las obligaciones adquiridas sobre este aspecto.

Revisar el inventario de aplicaciones instaladas y en uso, relacionando cada elemento con su respectiva licencia

Aspectos a revisar

Topología y diseño: Observación y revisión de la documentación

Componentes importantes: Observación, revisión de los manuales respectivos

Usos de la red: Métodos de transmisión, análisis de tráfico y de aplicaciones

Proceso de administración: Revisión de políticas y procedimientos

Funciones y responsabilidades del DBA: Revisión de políticas y procedimientos

Esquema de usuarios: Revisión de políticas y

procedimientos

Controles por evaluar