La creciente competitividad del mercado, genera una dificultad cada vez mayor en las organizaciones para alcanzar el éxito en sus proyectos. Tal hecho busca priorizar criterios económicos, tiempo, costo, calidad y alcance, ocasionando falta de controles que resultan en brechas de seguridad en la compañía. De esa forma se deja en segundo plano procedimientos de seguridad como por ejemplo el testeo de aplicaciones web. Estas poseen vulnerabilidades que podrían proporcionar los medios para que usuarios finales maliciosos violen mecanismos de protección de un sistema y obtengan acceso a información privada o recursos de la empresa. Los pronósticos referentes a la violación de datos indican que la industria de salud será el blanco más buscado para los ataques cibernéticos en 2017 ya que el alto valor de los registros de salud electrónicos (EHRs) llama cada vez más la atención de los cibercriminales. Dichos registros representan una fuente de ganancias mayor a la que si se accediera a información de tarjetas o cuentas bancarias. El presente proyecto propone un modelo de madurez de seguridad de aplicaciones web ante ciberataques para clínicas de nivel 2 bajo la norma técnica del MINSA, orientada a mostrar las debilidades de las aplicaciones web y las mejoras que se puedan realizar en aspectos de seguridad. El proyecto permitió la implementación de mejoras por parte de las empresas clientes en sus plataformas web mediante la recomendación propuesta por la guía de mejora luego de haber realizado el pentesting propuesto. / Bearing in mind that the projections made for the area of information security point to an increase in attacks on the health sector, added to the lack or little diffusion of security maturity models that allow organizations to know the status of their website in terms of security and that the existing models lack a post-evaluation monitoring, it is necessary to propose a model of security maturity of web applications against cyber-attacks, oriented to the health sector, which is simple to apply. The maturity model proposes to offer the user a portfolio of tools that asks them to apply tests and obtain their results, interpret them and place them at a level of maturity before cyberattacks, then proposing controls to improve the security of the web. This model will be based on the International Professional Practice Framework methodology and will include the main vulnerabilities published by the Open Web Application Security Project to propose attacks that identify the weakness of the evaluated web system, so that the client company has the possibility to reinforce its weaknesses. Guides will also be proposed to select strategies to improve critical points from a security perspective. Because of the validation, it was found that, of the 14 tests applied, five were approved, positioning the web at level 3 of maturity, which means that there are validations in the structure of the web; however, they are partial or inefficient. / Tesis

La presente revisión sistemática de la literatura tiene como objetivo encontrar autores, países y revistas o repositorios que se puedan tomar como referentes o puntos de partida para realizar investigaciones sobre el tema de ciberseguridad orientada al robo de información. La metodología que se siguió fue la propuesta por Kitchenham, con la cual se definieron tres preguntas de investigación, una para cada tipo de referente que se busca, luego se procedió a la recopilación de artículos de investigación en las bases de datos ProQuest, ScienceDirect y CORE y después de haber aplicado criterios de inclusión y exclusión y evaluar la calidad de cada artículo mediante una escala cuantitativa se realizó la clasificación de los artículos seleccionados según su autor, revista o repositorio y país de publicación, concluyendo que, si se desea indagar en este campo, Brij Gupta se puede tomar como autor de referencia debido a que ha realizado varias investigaciones en esta área, además uno de los repositorios donde más se publica sobre el tema de ciberseguridad orientada al robo de información es arXiv.org, de donde se obtuvo el 17% de artículos que han sido analizados, finalmente se observó que de los países donde se publican investigaciones sobre este tema destacan Estados Unidos con el 26% de publicaciones e India con el 21%.

La tesis titulada “Factores inhibidores en la implementación de Sistemas de Gestión de la Seguridad de la Información basado en la NTP-ISO/IEC 17799 en la Administración Pública” es un estudio cuantitativo, transversal, hipotético-deductivo sobre el proceso de implantación de la Norma Técnica NTP-ISO/IEC 17799. Código de buenas prácticas para la gestión de la seguridad de la información en las Entidades del Sistema Nacional de Informática del Perú. Esta investigación, se introduce dentro del marco del desarrollo de la Sociedad de la Información, la Agenda Digital Peruana y el Proyecto de Gobierno Electrónico en el Perú y responde a la siguiente pregunta ¿Cuáles son los factores inhibidores que influyen en el bajo nivel de implementación de la Norma Técnica NTP-ISO/IEC 17799 Código de buenas prácticas para la gestión de la seguridad de la información en las Entidades del Sistema Nacional de Informática? Para este propósito, se recopiló información a través de una encuesta semi estructurada en 16 Organismos Públicos Descentralizados adscritas a la Presidencia del Consejo de Ministros (PCM) del Gobierno Nacional, que tienen su Sede en la ciudad de Lima. La información recopilada en la encuesta, fue procesada y analizada, que permitió luego identificar factores de orden estratégico y operativo causantes del bajo nivel de implantación de la norma. Finalmente, hemos planteado las recomendaciones orientadas a superar las dificultades que enfrentan dichas entidades, cumpliéndose de esta manera con el propósito de la investigación. Palabras Clave: Norma Técnica Peruana (NTP-ISO/IEC 17799), Sistema de Gestión de Seguridad de la Información (SGSI), La Agenda Digital Peruana, Oficina Nacional de Gobierno Electrónico e Informática (ONGEI), Seguridad de la Información, Organismos Públicos Descentralizados (ODP). / The Thesis entitled “Inhibitors factors in the Information Security Management Systems implementation based on NTP-ISO/IEC 17799 in public agencies” it is a quantitative, transversal, hypothetical-deductive method research on Peruvian Technical Norm NTP-ISO/IEC 17799 Information technology Code of practice for information security management deployment process in the National Information system Institutions of Peru. This research, was conducted within the Information Society development framework, the Peruvian Digital Agenda and the project of E-Government in Peru, and answers the following question: What are inhibitors factors influencing the low level of implementation of the technical standard NTP-ISO/IEC 17799 code of practice for the information security management in the national system of Information institutions?. For this purpose, information was collected from a semi structured survey in 16 decentralized public bodies attached to the Presidency of the Council of Ministers (PCM) of the national Government, which have their headquarters in the city of Lima. Information collected in the survey, was processed and analyzed which allowed us then identify strategic and operational order factors causing the low-level implementation of the standard. Finally, we raised the recommendations aimed to overcome the difficulties faced by these entities, thus fulfilling the purpose of the research. Key Words: Peruvian Technical Norm (NTP-ISO/IEC 17799), Information Security Management Systems (ISMS), The Peruvian Digital Agenda, E-government and Informatics National Body (ONGEI), Information security, Decentralized Public Organisms (ODP).

Identifica las causas que restringen la implementación del sistema gestión de seguridad de la información SGSI en las entidades públicas. Realiza una investigación de tipo cualitativa que permite utilizar una estrategia de recopilación de información de una manera organizada y estructurada, a través de la realización de entrevistas, para identificar las restricciones y facilidades que se encuentran en las entidades públicas y que permitan obtener información de apoyo a la mejora en la implementación de las políticas de seguridad de información de las entidades integrantes del Sistema Nacional de Informática. Realiza siete entrevistas a oficiales de seguridad de la información, encargados de la implementación del SGSI en sus respectivas instituciones públicas, de acuerdo a la NTP-ISO/IEC 27001. Finalmente, establece las conclusiones y recomendaciones que permitan encontrar un punto de equilibrio entre el alineamiento del sistema con la estrategia de negocio de la organización y el control de riesgos de seguridad de la información, que faciliten la evaluación del nivel de complejidad de los factores que no permiten el desarrollo de la implementación total de la NTP-ISO/IEC 27001 y cómo estos terminan afectando a la gestión de los procesos de negocio de las organizaciones.

Publicación a texto completo no autorizada por el autor / Indica los mecanismos necesarios para la implementación del Sistema de Gestión de Seguridad e Información basado en la norma ISO 27001. La implementación de este sistema busca asegurar la confidencialidad, integridad y disponibilidad de los activos de información, minimizando a la vez los riegos de seguridad de la información. / Trabajo de suficiencia profesional

Investiga el desarrollo de un diseño para la implementación de sistema de seguridad inalámbrica que permitiera controlar la actividad de los usuarios al realizar un tráfico de datos en el Instituto Geofísico del Perú, para ello se realizó un estudio del protocolo RADIUS. Este protocolo trabaja con estándares de seguridad como el AAA, y con estas características particulares fue posible la adaptación y uso de la aplicación eduroam. Durante el proceso de ejecución del proyecto piloto del nuevo sistema de control inalámbrico se logró implementar en la sede principal de monitorio sísmico, este proyecto partió de la Oficina de Tecnologías de Información de Datos Geofísicos – OTIDG, servicio con la aplicación eduroam alrededor de 40 investigadores pudieron ser los primeros usuarios en experimentar la bondades dentro y fuera de la Institución con otras entidades que utilizan este servicio, siendo en su mayoría centros de investigación y en otros casos aeropuertos internacionales. El proyecto inicial mostro las fortalezas logradas con una gran percepción de los usuarios que usaron el servicio lo cual se reflejó en la encuesta virtual que recopilo la percepción y sensación de confort al realizar uso de este servicio. Cabe resaltar que en su gran mayoría los encuestados no solo tuvieron buenas experiencias al hacer uso de eduroam puesto que facilito el acceso y elimino el tema burocrático de accesibilidad en otras entidades, sin no que también la percepción de confianza que tuvo el usuario fue aceptable logrando tener una apoyo de esta implementación por parte de la Alta Dirección del IGP. Los resultados de las encuestas fueron sometidos usando un paquete estadístico SPSS 20 y mediante de pruebas de CHI-CUADRARO se corrobora la aceptación de las variables en los resultados mostrados estadísticamente. En conclusión el estudio demostró que un sistema de seguridad de control de acceso con RADIUS produce efectos que determina el grado de autenticación y autorización en el control de tráfico inalámbrico. / Tesis

La presente investigación surge como alternativa de solución frente al problema de seguridad de la información que tiene la Unidad de Producción Hidráulica de la referida organización. El Plan de Seguridad compromete la organización de los procesos de la citada Unidad, puesto que la correcta gestión de seguridad de la información puede marcar la diferencia entre la eficacia y la inoperancia. En cuanto a la metodología utilizada debemos señalar que después de una sutil comparación con las ya existentes en este campo, se optó por aquella denominada MAGERIT; la misma que permitió el análisis y gestión de riesgos. También, se utilizó la herramienta EAR-PILAR que ayudó en la toma de las mejores decisiones frente al problema de seguridad de la información. Finalmente, después de haber recogido información fidedigna producto de una exhaustiva investigación, se concluyó que el Sistema de Gestión de Seguridad de la Información (SGSI) es un soporte importante que ayuda a organizar los procesos, controles y salvaguardas de la Unidad de Producción Hidráulica de la Central Hidroeléctrica Carhuaquero; y al mismo tiempo hace posible mantener la información bajo medidas de seguridad, garantizando su integridad, confidencialidad y autenticidad. / Tesis

La tesis titulada “Factores inhibidores en la implementación de Sistemas de Gestión de la Seguridad de la Información basado en la NTP-ISO/IEC 17799 en la Administración Pública” es un estudio cuantitativo, transversal, hipotético-deductivo sobre el proceso de implantación de la Norma Técnica NTP-ISO/IEC 17799. Código de buenas prácticas para la gestión de la seguridad de la información en las Entidades del Sistema Nacional de Informática del Perú. Esta investigación, se introduce dentro del marco del desarrollo de la Sociedad de la Información, la Agenda Digital Peruana y el Proyecto de Gobierno Electrónico en el Perú y responde a la siguiente pregunta ¿Cuáles son los factores inhibidores que influyen en el bajo nivel de implementación de la Norma Técnica NTP-ISO/IEC 17799 Código de buenas prácticas para la gestión de la seguridad de la información en las Entidades del Sistema Nacional de Informática? Para este propósito, se recopiló información a través de una encuesta semi estructurada en 16 Organismos Públicos Descentralizados adscritas a la Presidencia del Consejo de Ministros (PCM) del Gobierno Nacional, que tienen su Sede en la ciudad de Lima. La información recopilada en la encuesta, fue procesada y analizada, que permitió luego identificar factores de orden estratégico y operativo causantes del bajo nivel de implantación de la norma. Finalmente, hemos planteado las recomendaciones orientadas a superar las dificultades que enfrentan dichas entidades, cumpliéndose de esta manera con el propósito de la investigación. Palabras Clave: Norma Técnica Peruana (NTP-ISO/IEC 17799), Sistema de Gestión de Seguridad de la Información (SGSI), La Agenda Digital Peruana, Oficina Nacional de Gobierno Electrónico e Informática (ONGEI), Seguridad de la Información, Organismos Públicos Descentralizados (ODP). / The Thesis entitled “Inhibitors factors in the Information Security Management Systems implementation based on NTP-ISO/IEC 17799 in public agencies” it is a quantitative, transversal, hypothetical-deductive method research on Peruvian Technical Norm NTP-ISO/IEC 17799 Information technology Code of practice for information security management deployment process in the National Information system Institutions of Peru. This research, was conducted within the Information Society development framework, the Peruvian Digital Agenda and the project of E-Government in Peru, and answers the following question: What are inhibitors factors influencing the low level of implementation of the technical standard NTP-ISO/IEC 17799 code of practice for the information security management in the national system of Information institutions?. For this purpose, information was collected from a semi structured survey in 16 decentralized public bodies attached to the Presidency of the Council of Ministers (PCM) of the national Government, which have their headquarters in the city of Lima. Information collected in the survey, was processed and analyzed which allowed us then identify strategic and operational order factors causing the low-level implementation of the standard. Finally, we raised the recommendations aimed to overcome the difficulties faced by these entities, thus fulfilling the purpose of the research. Key Words: Peruvian Technical Norm (NTP-ISO/IEC 17799), Information Security Management Systems (ISMS), The Peruvian Digital Agenda, E-government and Informatics National Body (ONGEI), Information security, Decentralized Public Organisms (ODP).

Existe una actitud histórica en la educación superior según la cual no debe haber restricciones para el acceso a la información; es en ese sentido que los docentes, alumnos, investigadores y terceros solicitan el acceso abierto a los sistemas de información de las Universidades. Sin embargo a la luz de las recientes amenazas de la información tales como: sabotajes, violación de la privacidad, intrusos, interrupción de servicios, etc. y de las expectativas de mayores amenazas a la seguridad en el futuro, no puede continuar este acceso abierto e ilimitado. Por esta razón se realizó un estudio en tres Universidades de Lima Metropolitana: la Universidad Nacional Mayor de San Marcos (UNMSM), la Universidad Nacional Federico Villarreal (UNFV) y la Universidad Privada San Juan Bautista (UPSJB), teniendo como objetivo proponer estrategias de Gestión de Seguridad de la Información y sus implicancias en la calidad y eficacia en los servicios críticos de las universidades. Cabe señalar que la muestra de la población estuvo conformada por 30 expertos del área de Tecnología de Información y Comunicaciones (TIC) que laboran en las 3 universidades citadas, a quienes se les aplicó un formulario de encuesta para medir sus opiniones con respecto a la gestión de seguridad y los servicios críticos. Los resultados de la investigación revelaron las estrategias que se deben utilizar en la gestión de seguridad de la información como son: primero, la importancia de desarrollar políticas de seguridad: UNMSM 37 %, UNFV 19% y UPSJB 24%; segundo, los programas de capacitación al personal, donde los expertos consultados informaron el interés por asistir: UNMSM 60%, UNFV 70% y UPSJB 70% y tercero, la protección a los recursos de información, porque el 38% de los expertos manifestaron que sus centros informáticos no poseen equipos de protección contra cortes de energía eléctrica, amenaza que fue común en la década de 1980-1990. Los resultados también demostraron que al implementarse estas estrategias el impacto en las aplicaciones de red e internet será eficaz y de acuerdo a los expertos consultados se obtendrán beneficios tales como: una mejor protección de la información (50%) y una mejora de la calidad en el servicio a los alumnos y docentes (27%). Además se minimizarán los riesgos de la información, pues en el caso de la UNMSM la infección de virus informáticos es de 56%, mayor al de las otras universidades consultadas. / There has been historical attitude in the high education according to which there must not be restrictions for the access to information. So the teachers, students, researches and other people require an open access to the university information systems. Nevertheless, due to the last threats of the information such as sabotages, violation of privacy, intruders, service interruptions and some others, and opened to the forward major threats to security, this access can not continue being opened and unlimited. This inquiry made us accomplish the study in 3 universities downtown in Lima: San Marcos Major National University (SMMNU), Federico Villarreal National University (FVNU) and San Juan Bautista Private University (SJBPU), having the goal to propose strategies of information security management and their implications in the quality and accuracy in the services critical of the universities. It would be mentionated that the sample of the population was made up by 30 experts of the Information and Communication Technology Area (ICT) that work in the three universities mentionated before. A survey form was applied to them to measure their opinions in relation to the security management and services critical. The results of the research revealed the strategies that should be used in the information security management such as: first, the importance of development security policy: SMMNU 37%, FVNU 19% and SJBPU 24%; second, the programs of personnel training where the experts reported the interest to participate: SMMNU 60%, FVNU 70% and SJBPU 70% and third, the protection to information resource because the 38% of the experts expressed than their information technology centers don’t provide equipment of protection against closing of electric energy, a usual risk in 1980-1990 decade. Also the results demonstrate that to implement these strategies, the impact on the network and web applications will be effective. According to the surveyed experts benefits will be obtained such as: better protection of the information (50%) and better quality on the service for students and teachers (27%). Besides, the risks of information will be minimized because in the case of the SMMNU, the computer virus infection is 56%, the highest from other universities.

El documento digital no refiere asesor / Publicación a texto completo no autorizada por el autor / Establece un sistema de gestión de seguridad para redes de datos, cuyo propósito es coadyuvar a mantener la disponibilidad de los servicios informáticos críticos en una institución del Estado Peruano, gestionando los riesgos producto de amenazas y vulnerabilidades a los que puede estar expuesto la red de datos de la organización que se estudia. Asimismo, se plantea como propuesta tecnológica, la utilización de software libre para establecer controles de acuerdo a los principales riesgos que se determinen para la red de datos, y que tengan un impacto en la organización de llegar a materializarse alguna amenaza. / Tesis