Propuesta de Políticas de Seguridad para la Red Administrativa del Ejército y Fuerza Aérea.

1. Propuesta de Políticas de Seguridad para la Red Administrativa del Ejército yFuerza Aérea. ASESOR: DOCTOR ROBERTO GOMEZ CARDENAS TESISTA: ARTURO NAJERA MORALES

2. Misiones Fabricación de Armamento, municiones, equipo mobiliario, pintura plásticos herramientas, vestuario y equipo. Registro Federal de Armas de Fuego y Control de Explosivos Apoyo a la población en caso de desastres, mantenimiento de la paz social y garantía de soberanía Combate al Narcotráfico, etc

3. Procedimientos Actuales. • Coordinación interinstitucional de organismos nacionales, involucrados. • Cooperación con organismos multinacionales y países interesados en mostrar un frente común a fenómenos como el narcotráfico, con particular atención a nuestros vecinos geográficos.

4. Protección de la Información • A través de sistemas centralizados de acceso restringido y cerrados. • Coordinación con otras instituciones, la información puede verse comprometida, al pasar de un ambiente restringido a otro con un menor grado de seguridad

5. Causas del Problema • La falta de una política de seguridad homogénea durante las etapas de coordinación con otras Dependencias gubernamentales, así como con Unidades pertenecientes al Ejército. • Mayor peso a la Confidencialidad y Operatividad que a la Integridad y Disponibilidad.

6. Necesidad • Requiere de una unificación de conceptos de seguridad que faciliten la coordinación y el intercambio de información sin necesidad de comprometer la seguridad. • Evaluar la seguridad, de manera objetiva y confiable.

7. Objetivo de Aplicación • Red Administrativa. • Servicios de voz, datos y eventualmente video. • Enlaces emplean medios de comunicación: Satélite (con técnicas de acceso DAMA, PAMA, MCPC, Frame Relay, Sky Frame), líneas digitales, radio enlaces (HF, VHF, UHF), enlaces de microondas, etc.

8. MCPC RADIO ENLACES LINEA PRIVADA FRAME RELAY ENLACE SATELITAL DAMA CENTRO DE CONTROL SKY FRAME

9. Clasificación Actual • Seguridad de Transmisiones. Es el conjunto de medidas y actividades llevadas a cabo con el fin de prevenir o evitar que personas no autorizadas obtengan información a través de nuestros medios de comunicaciones

10. Componentes de Seguridad • Seguridad Física. • Seguridad de Operación. • Seguridad Criptográfica.

11. Seguridad Física • Medidas para proteger los medios de transmisiones y material clasificado contra toda acción tendiente a impedir su uso o de obtener su información, • Recintos de acceso prohibido y medidas de protección contra desastres, patrullas, rondines, centinelas y vigilantes, destrucción rutinaria y de emergencia

12. Seguridad de Operación • Conjunto de medidas destinadas a proteger el sistema de transmisiones contra la interferencia., intercepción, engaño por imitación, análisis de tráfico entre otros.

13. Seguridad Criptográfica • Conjunto de métodos llevados a cabo para desarrollar sistemas criptográficos técnicamente seguros con el fin de proteger el contenido de los mensajes contra personas no autorizadas

14. Clasificación Actual • De acuerdo al tipo de información y la importancia que revisten se consideran tres grados: • Muy Secreto, • Secreto y • Confidencial.

15. Seguridad Informática • Un sistema Informático se denomina “seguro” si se controla el acceso a la información a través del uso de características específicas de seguridad, que acrediten los accesos para leer, escribir, crear, modificar o eliminar la información.

16. Seguridad Computacional • Incluye disponibilidad, integridad, control y auditoría de los sistemas que proporcionan acceso a los archivos almacenados en computadoras, contempla la infraestructura y manejo de la información(Dispositivos electrónicos, equipo de soporte, sistemas de comunicación, software, procedimientos)

17. Riesgos. • Tipos de Riesgo por Categorías. Fallas de la administración, Daños físicos,Fallas de Hardware o Software, Errores Humanos, Mal empleo de la Infomación. • Magnitud de Riesgos. • Análisis de riesgos.

18. TRUSTED COMPUTER SYSTEM EVALUATION CRITERIA (ORANGE BOOK). • Surge como la necesidad de evaluar la seguridad, o de tener una medición de los niveles de seguridad por parte del gobierno de los E.E. U.U. y de la industria, por la necesidad de estandarizar el propósito y el uso de las computadoras por el gobierno federal.

19. TCSEC. Divisiones • D Protección Mínima • C Protección Discrecional • B Protección Obligatoria. • A Protección Controlada

20. Criterios de Certificación. • Cada clase se define con un grupo de con la evaluación en alguna clase. Este criterio cae en 4 categorías generales: • Políticas de seguridad • Responsabilidad • Confianza y • Documentación.

21. Criterios de Certificación. • Políticas de seguridad (Politicas, Etiquetas en Objetos) • Responsabilidad (Identificación, Auditorías). • Confianza (Aseguramiento, Protección Continua)y • Documentación.

22. Propósito del libro naranja • Medición. evaluar el grado de confianza de los sistemas informáticos seguros, para el proceso de clasificación de información sensitiva. • Dirección. Estándar a fabricantes • Adquisición. Bases para especificar los requerimientos.

23. Categorías de Seguridad • D- Protección Mínima. • C- Protección discrecional. • B- Protección Obligatoria. • A- Protección Verificada

24. Propuestas • Evaluación de la red Administrativa. • Establecimiento general de Políticas de seguridad para la red administrativa. • Especificación de los mecanismos disponibles que permitan alcanzar los niveles correspondientes de seguridad

25. Consideraciones • Exportación de información etiquetada. • Exportación en dispositivos multinivel • Exportación en dispositivos de nivel único.

26. Fases de Desarrollo • Análisis de la red de comunicaciones. • Especificación de herramientas de monitoreo de red. • Análisis de los sistemas operativos. • Análisis de los mecanismos de acceso remoto.

27. Fases de Desarrollo. • Identificación de puntos débiles. • Recomendaciones para el cierre de las brechas de seguridad. • Creación de un manual con las políticas de seguridad. • Detección y recuperación de incidentes.

28. Seguridad en S.O. brechas y corrección. • Prevención de Incidentes. • Mejoras de Seguridad. Implantación de estándares basados en el cálculo con curvas elípticas para intercambio de llaves, así como de algoritmos de llave simétrica para encripción de mensajes. • Actualización de los procedimientos de seguridad

29. Beneficios • Establecimiento general de Políticas de seguridad para la red administrativa. • Posibilidad de Integración de los sistemas de informáticos sin necesidad de disminuir el nivel de seguridad. • Promover el desarrollo de esta Area.

30. Bibliografía • Arthur E. Hut, Seymour Bosworth, Douglas B. Hoyt, 1995. Computer Security Handbook, Third edition, John Wiley and Sons Inc. • Rita C. Summers, 1997. Secure Computing Threats and Safeguards, McGraw Hill.

31. Bibliografía • Michael Rosing 1999. Elliptic Curve Criptography, Manning Publications. • E.M.D.N. S-2 (INTL) S.D.N., 1995, Manual de Táctica de Transmisiones. • E.M.D.N. Ley Orgánica del E. y F.A.M. • Orange Book en línea. http://www.radium.ncsc.mil/tpep/library/rainbow/5200.28-STD.html

32. Bibliografía • Pagina de la Secretaría de la Defensa Nacional. http://www.sedena.gob.mx • Dirección General de Servicios de Cómputo Académico Subdirección de Sistemas, Departamento de Control de Calidad y Auditoría UNAM. Informática, Vista General del Libro Naranja.