La seguridad de la información, en las empresas de hoy, es uno de los temas de mayor importancia. Cada vez son más los recursos que se invierten en protegerla, tanto de hardware como de software. Sin embargo, a pesar de ello, estos esfuerzos suelen no ser suficientes, pues existe una vulnerabilidad que rara vez es cubierta: la seguridad en las aplicaciones. El subsistema de seguridad propuesto consiste en brindar la solución para reducir la brecha que muchos mecanismos de protección dejan abierta: proteger de accesos indebidos a las aplicaciones en varios niveles. Este subsistema tiene el objetivo de ser un producto de software reutilizable por cualquier tipo de proyecto soportado por el FrameWork .Net v1.1 y que sirva para dar seguridad a la información a los distintos módulos del mismo. Este subsistema permite llevar a cabo la administración de módulos, cuentas de usuario, grupos y perfiles. Adicionalmente, proporciona los servicios de seguridad que se adaptan a cualquier tipo de aplicación (ya sea aplicaciones Web o aplicaciones Windows) y la protección de servicios Web y componentes COM+. Todas estas características, sumadas a su interfaz Web amigable, hacen del susbsistema de seguridad un producto atractivo al público.

El presente proyecto de tesis se realizó con el propósito de determinar el nivel de seguridad de las aplicaciones web y detectar las vulnerabilidades a tiempo, para mitigar los posibles ciberataques antes de que las aplicaciones se encuentren en el entorno de producción. El objetivo del proyecto es implementar un modelo de niveles de seguridad para determinar las condiciones en que se encuentran las aplicaciones web en las PYMES realizando pruebas de intrusión en la fase de implementación. Este modelo propuesto está basado en la metodología de OWASP, consta de cuatro niveles de seguridad: inicial, básico, estándar y avanzado. Cada nivel consta de un conjunto de pruebas de intrusión que fueron clasificadas mediante indicadores que nos ofrecen el grado de riesgo de cada una de ellas. El modelo de niveles de seguridad fue aplicado en una PYME desarrolladora de software que cumple con las restricciones y suposiciones del proyecto. Como resultado, se identificó que todas las aplicaciones web se encuentran en un nivel básico de seguridad. Adicionalmente, se mostró que el modelo es fácil de usar y económico, ya que las pruebas se pueden realizar con herramientas de código abierto / The present thesis project was carried out with the purpose of determining the level of security of the web applications and detect the vulnerabilities in time, to mitigate the possible cyber-attacks before the applications are in the production environment. The objective of the project is to implement a model of security levels to determine the conditions in which web applications are found in SMEs performing intrusion tests in the implementation phase. This proposed model is based on the OWASP methodology, consisting of four security levels: initial, basic, standard and advanced. Each level consists of a set of intrusion tests that were classified by indicators that offer us the degree of risk of each of them. The safety level model was applied in a software development SME that complies with the project's restrictions and assumptions. As a result, it was identified that all web applications are at a basic security level. Additionally, it was shown that the model is easy to use and economical, since the tests can be performed with open source tools. / Tesis

El presente trabajo de investigación analizará cómo están preparadas Mapfre Perú Seguros y Kallpa corredora de seguros, ante las amenazas de seguridad de la información que podrían impactar en sus operaciones de negocio, con la finalidad de proponer una guía base de controles para mitigar los riesgos. En el capítulo uno se expondrá el marco teórico respecto al impacto de los cambios tecnológicos y las definiciones de la terminología utilizada; también articularemos temas como tendencias de las ciberamenazas, problemática de la información, resiliencia en las organizaciones y ciberseguridad industrial. Para el segundo capítulo presentaremos el marco metodológico de la investigación y las herramientas usadas en el proceso; así como el propósito de la investigación, tipo de investigación, descripción del contexto interno y externo, establecimiento de la guía de preguntas, la identificación de los segmentos y categorías, codificación, determinación de la muestra y la matriz de procesamiento de la información. Posteriormente, en el tercer capítulo se efectuará el análisis de la información, permitiendo interpretar en base a los datos recogidos de las entrevistas a profundidad, la observación a través de la bitácora y la experiencia de los entrevistados. En lo que respecta al cuarto capítulo se precisarán los hallazgos, barreras y brechas identificadas a lo largo de la investigación y entrevistas realizadas. Finalmente, en el quinto capítulo se brindan las conclusiones y recomendaciones para mitigar los riesgos de seguridad de la información en Mapfre Perú Seguros y Kallpa Corredora de Seguros. / The present investigation paper will analyze how prepare the companies Mapfre Perú Insurance and Kallpe Insurance Brokers, are against the information security threats that may impact their business operations, with the intention to propose a guideline of controls to mitigate the risks. On the First chapter we will expose the theoretical framework in regards to the impact of the technological developments and the definitions of the terminology used on this paper; as well we will articulate subjects such as trends of cyberthreats, resilience in the organization and industrial cybersecurity. In the Second chapter we will present the investigation methodological framework and the tools used in the investigation process; as well as the purpose of the investigation, type of investigation, description of the internal and external context, establishment of the question guide, the segment identification and categories, codification, sample determination y finally the information processing matrix. On the Third chapter we will realize the information analysis, allowing us to interpret the data gather in the depth interviews, observation based on the binnacle and finally the experience of the interviewed professionals. Along the Fourth chapter we will be specifying our findings, barriers and gaps identified along the investigation and conducted interviews. Finally, on the Fifth chapter we will be given the final conclusion and recommendation to mitigate the information security risks in Mapfre Perú Insurance and Kallpa Insurance Broker. / Tesis

No description available.

El contenido del presente documento describe el trabajo realizado en el proyecto “Gestión de la Seguridad Física y Lógica para un Centro de Datos” desarrollado en la empresa virtual IT-Expert. La aplicación de este proyecto permitirá establecer roles, procesos y políticas para gestionar de manera adecuada un centro de datos pequeño, el caso de análisis es el centro de datos de la carrera de ingeniería de sistemas y software durante el segundo semestre del año 2010 y el primer semestre del año 2011. La primera problemática a resolver era como cuantificar y detallar el estado actual del centro de datos analizado. Un componente esencial en este análisis era estudiar y revisar la información de los procesos que rigen la operativa del centro, las directrices y/o políticas establecidas y los activos o recursos que forman parte del caso de análisis. Para determinar cuál es el estado real del centro de datos, fue necesario investigar acerca de estándares y/o normas internacionales y nacionales, las cuales son la base del presente trabajo. Al concluir la investigación, se hizo evidente que no existe un único estándar que asegure la gestión de la seguridad (física y lógica) para un centro de datos pequeño. Por lo que el proyecto determinó que debe tener múltiples fuentes y que éstas deben recoger ambos tipos de seguridad. El estándar más importante acerca de la seguridad en servidores y centro de datos, es la TIA-942, estándar reconocido mundialmente y sobre el cual los mejores y más avanzados centros de datos del mundo basan la gestión de la seguridad Otro estándar importante que trabaja la seguridad pero enfocado en su componente lógico es la NTP-ISO/IEC 17799:2007, el cual es una adopción de la norma ISO/IEC 17799:2005 Information Technology – Code of Practice for Information Security Management. Con los estándares definidos, se inició la evaluación del centro de datos, con el objetivo de definir su estado real y establecer medidas para subsanar las observaciones encontradas. Se crearon dos checklist basados en los estándares y normas mencionados, cada uno de ellos se especializa en un enfoque de la seguridad. Esta evaluación brindará la pauta de lo que debe gestionarse en el corto, mediano y largo plazo. Los resultados de ambos checklist no fueron los esperados. El resultado estableció que ambos frentes de la seguridad estaban en su nivel más bajo y para levantar estas observaciones se necesitaba trabajar sobre las recomendaciones catalogadas como mínimas. Por otro lado, se hizo evidente que era necesario establecer directrices, políticas y procesos que permita hablar de un centro de datos y no de una sala de computadoras, lo cual sería posible únicamente si se adoptan los niveles de seguridad sugeridos. Uno de los principales entregables del proyecto, es la política –la misma que cubre los dos frentes de seguridad- basándola en la norma NTP-ISO/IEC 17799:2007. Al tener la política instaurada, se definieron y crearon los procesos que brinden soporte a las directrices de estas políticas; con la definición del proceso, fue necesario definir los roles para finalmente formar un estándar aplicable a centro de datos pequeños. Por último, se han listado algunas recomendaciones y conclusiones del proyecto así como también un manual de funciones del rol del oficial de seguridad. Con el objetivo de continuar con esta iniciativa, se ha esquematizado y definido en un capitulo la continuidad del proyecto. Adicionalmente, se ha creado un assessment de seguridad con el fin de verificar que los cambios sugeridos por el proyecto se hayan llevado a cabo y ayudar a que cada ciclo se retroalimente la gestión de la seguridad con los nuevos requerimientos, incidencias, evaluaciones, etc. / Tesis

Tesis

El sector micro financiero pese a los esfuerzos que realiza no cumple satisfactoriamente la ley de protección de datos personales y las regulaciones propias de su ámbito de negocio. El presente trabajo propone un modelo de madurez de protección de datos personales el cual está basado en recomendaciones de estándares internacionales de privacidad y seguridad de información que permita conocer si la organización cumple de manera satisfactoria la ley de protección de datos personales. La validación del modelo consta de dos partes, la primera por juicio de expertos en el campo del sector micro financiero, de protección de datos personales y de la Superintendencia Nacional de Banca y Seguros. Posteriormente se realiza una evaluación de diagnóstico a cinco empresas del sector micro financiero y se analizan los resultados. / The micro financial sector despite the efforts made, does not satisfactorily comply with the law of personal data protection and the regulations of its business scope. The present work proposes a mature model of personal data protection which is based on recommendations of international standards of privacy and information security that allows knowing if the organization is fulfilling in a satisfactory way the law of personal data protection. The validation of the model is divided in two parts, the first by expert judgment in the field of the microfinance sector, the personal data protection and the National Superintendence of Banking and Insurance. Subsequently, a diagnostic evaluation is made to five companies in the microfinance sector and the results are analyzed. / Tesis

No description available.

El presente trabajo de investigación presenta el Diseño de una Red de Seguridad Informática para la protección del Sistema Web del Call Center que ha estado bajo ataques informáticos con el objetivo de aumentar la disponibilidad del sistema. Asimismo, se apunta a reducir las vulnerabilidades tecnológicas a las que está expuesta la empresa y, finalmente, a implementar una mejora sustancial en la red de datos del Call Center. El principal instrumento utilizado para elaborar las medidas que permitan aumentar el nivel de seguridad de la empresa estudiada ha sido la norma ISO 27033 basada en recomendaciones, gestión de riesgos y que puede afianzarse con otras normas. Cabe mencionar, que el modelo puede aplicarse a cualquier empresa sea o no del mismo ámbito comercial. También, presentamos los costos de los elementos sugeridos para mejorar la situación del Call Center y una metodología desarrollada para determinar los tiempos con una precisión del 95.46% que servirán como guía en caso se quiera implementar el proyecto. / The present research work presents the design of a secure network based on Security Information concepts for the protection of a Web System of the Call Center that has been under computer attacks with the aim of increasing the availability of the system. Likewise, it aims to reduce the technological vulnerabilities that the company is exposed and, finally, to implement a substantial improvement in the data network infrastructure Call Center. The main instrument used to develop the measures to increase the level of safety of the company studied is the ISO 27033 standard based on recommendations, risk management and that can be established with other standards. It is worth mentioning that the model can be applied to any company, whether it is in the same commercial area or not. Also, we present the costs of the suggested elements to improve the situation of the Call Center and a methodology developed to determine the times with an accuracy of 95.46% that will serve as a guide in case you want to implement the project. / Trabajo de Suficiencia Profesional

La presente tesis es el resultado de la integración de los campos de la inteligencia artificial y la seguridad computacional, los cuales convergen en un producto cuyo objetivo principal es mejorar la visibilidad al usuario final en cuanto a las incidencias de malware, teniendo en cuenta características que dichos eventos tienen en común. En primer lugar, se hizo un análisis detallado de los eventos de malware (o software malicioso) para detectar y seleccionar aquellos parámetros que los definen dentro de un contexto de resolución de problemas, el cual busca responder a preguntas tales como el cuándo, dónde y quién originó el evento. Tras culminar el paso anterior, dichos datos ingresan al proceso de entrenamiento del Mapa Auto-Organizado, modelo de red neuronal seleccionado para la presente tesis; el gráfico resultante, tras una serie de ajustes de configuración, permite cumplir con el objetivo de la tesis anteriormente planteado. Con el producto final se busca mostrar de manera práctica cómo herramientas, tales como los Mapas Auto-Organizados, pueden optimizar la visualización de gran cantidad de datos, en este caso incidencias de malware, todo ello alineado a las tendencias que ya se vienen presentando hoy en día en el área de tecnologías de información y que incluyen a la inteligencia artificial como un nuevo actor. / Tesis