Existe una actitud histórica en la educación superior según la cual no debe haber restricciones para el acceso a la información; es en ese sentido que los docentes, alumnos, investigadores y terceros solicitan el acceso abierto a los sistemas de información de las Universidades. Sin embargo a la luz de las recientes amenazas de la información tales como: sabotajes, violación de la privacidad, intrusos, interrupción de servicios, etc. y de las expectativas de mayores amenazas a la seguridad en el futuro, no puede continuar este acceso abierto e ilimitado. Por esta razón se realizó un estudio en tres Universidades de Lima Metropolitana: la Universidad Nacional Mayor de San Marcos (UNMSM), la Universidad Nacional Federico Villarreal (UNFV) y la Universidad Privada San Juan Bautista (UPSJB), teniendo como objetivo proponer estrategias de Gestión de Seguridad de la Información y sus implicancias en la calidad y eficacia en los servicios críticos de las universidades. Cabe señalar que la muestra de la población estuvo conformada por 30 expertos del área de Tecnología de Información y Comunicaciones (TIC) que laboran en las 3 universidades citadas, a quienes se les aplicó un formulario de encuesta para medir sus opiniones con respecto a la gestión de seguridad y los servicios críticos. Los resultados de la investigación revelaron las estrategias que se deben utilizar en la gestión de seguridad de la información como son: primero, la importancia de desarrollar políticas de seguridad: UNMSM 37 %, UNFV 19% y UPSJB 24%; segundo, los programas de capacitación al personal, donde los expertos consultados informaron el interés por asistir: UNMSM 60%, UNFV 70% y UPSJB 70% y tercero, la protección a los recursos de información, porque el 38% de los expertos manifestaron que sus centros informáticos no poseen equipos de protección contra cortes de energía eléctrica, amenaza que fue común en la década de 1980-1990. Los resultados también demostraron que al implementarse estas estrategias el impacto en las aplicaciones de red e internet será eficaz y de acuerdo a los expertos consultados se obtendrán beneficios tales como: una mejor protección de la información (50%) y una mejora de la calidad en el servicio a los alumnos y docentes (27%). Además se minimizarán los riesgos de la información, pues en el caso de la UNMSM la infección de virus informáticos es de 56%, mayor al de las otras universidades consultadas. / There has been historical attitude in the high education according to which there must not be restrictions for the access to information. So the teachers, students, researches and other people require an open access to the university information systems. Nevertheless, due to the last threats of the information such as sabotages, violation of privacy, intruders, service interruptions and some others, and opened to the forward major threats to security, this access can not continue being opened and unlimited. This inquiry made us accomplish the study in 3 universities downtown in Lima: San Marcos Major National University (SMMNU), Federico Villarreal National University (FVNU) and San Juan Bautista Private University (SJBPU), having the goal to propose strategies of information security management and their implications in the quality and accuracy in the services critical of the universities. It would be mentionated that the sample of the population was made up by 30 experts of the Information and Communication Technology Area (ICT) that work in the three universities mentionated before. A survey form was applied to them to measure their opinions in relation to the security management and services critical. The results of the research revealed the strategies that should be used in the information security management such as: first, the importance of development security policy: SMMNU 37%, FVNU 19% and SJBPU 24%; second, the programs of personnel training where the experts reported the interest to participate: SMMNU 60%, FVNU 70% and SJBPU 70% and third, the protection to information resource because the 38% of the experts expressed than their information technology centers don’t provide equipment of protection against closing of electric energy, a usual risk in 1980-1990 decade. Also the results demonstrate that to implement these strategies, the impact on the network and web applications will be effective. According to the surveyed experts benefits will be obtained such as: better protection of the information (50%) and better quality on the service for students and teachers (27%). Besides, the risks of information will be minimized because in the case of the SMMNU, the computer virus infection is 56%, the highest from other universities. / Tesis

Se detallan las actividades para una correcta implementación del sistema de gestión de seguridad de la información, asimismo recalca la importancia de concienciar al personal en la importancia de salvaguardar la información que manejan en sus actividades laborales. El objetivo del presente trabajo es proteger la información en sus tres dimensiones: confidencialidad, integridad y disponibilidad mediante la implementación de una metodología de riesgos que permita identificar las amenazas que atenten contra la seguridad de la información en los procesos de TI de la organización GMD® que administra la plataforma tecnológica y mesa de ayuda de su cliente “ONP”. El presente trabajo es descriptiva aplicada y su diseño corresponde al experimental la población es conformada por 56 personas que son la totalidad de empleados que laboran en el proyecto, debido a su tamaño la muestra es la totalidad de personas, a saber 56 personas, las técnicas que se utilizan son las siguientes: encuestas, análisis documentario y auditorías. Como conclusión la hipótesis general muestra que el sistema de gestión de seguridad de la información ISO 27001:2013 permite salvaguardar la información de diversas amenazas mediante el cumplimiento de los objetivos de seguridad y el no contar con multas o penalidades por perdida de la información en los procesos de tecnología de la información (TI). / Tesis

La presente investigación se enfoca en la necesidad de enlazar la seguridad de la información con la gestión de las unidades ambientales de la región Lambayeque, el análisis de la situación actual aplicado a tres unidades ambientales demostró que carecen de mecanismos para fortalecer su nivel estructural y la seguridad de su información, trayendo consigo pérdidas económicas, insatisfacción de los usuarios y un deterioro de la imagen institucional. Se planteó como objetivo general contribuir en la seguridad de la información de la gestión de las unidades ambientales de la región Lambayeque, proponiendo la elaboración de un modelo de seguridad de la información basado en estándares, metodologías y marcos de trabajo adaptados a la gestión de las unidades ambientales. El modelo se validó por juicio de expertos midiendo su confiabilidad aplicando el alfa de Cronbach y la concordancia de su contenido en base a Kendall. Finalmente, el modelo validado se aplicó a un caso de estudio para una unidad ambiental de la región Lambayeque, identificando 21 riesgos que fueron alineados con 23 controles propuestos, monitoreando 23 controles para medir su nivel de cumplimiento, quedando demostrado que la seguridad de la información logra contribuir a la gestión de las unidades ambientales / Tesis

Magíster en Ciencias, Mención Computación / En tiempos recientes, las entidades financieras están ofreciendo cada día más a sus clientes la posibilidad de operar con ellos mediante la llamada Banca Móvil: El usuario baja una aplicación a su celular la cual le permite realizar las operaciones bancarias más comunes: Consulta de saldo, revisión de información de su tarjeta de crédito, transferencias de dinero a otras cuentas, etc. A estas operaciones agregan otras como contacto en caso de emergencia bancaria, consulta de cuáles son los cajeros automáticos y sucursales del banco más cercanas al usuario, etc. Los bancos ofrecen estas aplicaciones a través de las tiendas de las diferentes plataformas móviles disponibles, bajo la premisa de permitir a sus usuarios el acceso a sus operaciones bancarias en forma fácil y segura. Dado que estas aplicaciones manejan información sensible, como la personal, geográfica y financiera, cabe hacerse la pregunta de cuál es el estado de su seguridad. Para responder esta pregunta, se realizó un estudio el cual involucró a diez aplicaciones de banca móvil nacionales para la plataforma Android disponibles en la Google Play Store. A cada aplicación se le realizó un procedimiento automatizado de ingeniería reversa, para posteriormente analizar estáticamente el código fuente extraído como parte de ese proceso. Adicionalmente, se realizaron pruebas pasivas sobre la aplicación en funcionamiento con la cooperación de algún cliente del banco que ofrece la aplicación. Posterior a ello, se determinó qué vulnerabilidades de seguridad tiene cada aplicación, y en base a ello se creó una taxonomía de malas prácticas en el desarrollo de estas aplicaciones las cuales tienen como consecuencia las vulnerabilidades encontradas. Esta tesis tiene como objetivo clasificar las aplicaciones bancarias móviles ofrecidas por los bancos nacionales dentro de la taxonomía recién mencionada, y dar lineamientos respecto de buenas prácticas de seguridad al momento de diseñar, implementar y lanzar al mercado aplicaciones móviles que manejan información sensible para sus usuarios.

Publicación a texto completo no autorizada por el autor / Describe el proyecto de implementación de Oracle Data Guard para brindar alta disponibilidad a la base de datos Oracle del core de la empresa InnovaNetPe. El problema identificado fue que la base de datos Oracle, core del negocio, no tenía alta disponibilidad en operación, en caso la base de datos presentara algún inconveniente, los sistemas de ventas, postventa y reportería, para las diferentes áreas de la organización, estarían inhabilitados o inutilizables. El objetivo planteado fue implementar la alta disponibilidad, mediante Oracle Data Guard, a la base de datos core del negocio para brindar redundancia a este nivel, de tal forma que las operaciones principales de la organización no se vean afectadas. / Trabajo de suficiencia profesional

Ingeniero Civil en Computación / La protección de la confidencialidad de la información manipulada por los programas computacionales es abordada a nivel del código fuente con distintas técnicas. Una de ellas es tipado de seguridad para el control de flujo, que controla el nivel de seguridad donde fluye la información agregando anotaciones a las variables tipadas. La propiedad de seguridad fundamental de control de flujo es conocida como no-interferencia (noninterference), que establece que un observador público no puede obtener conocimiento desde datos confidenciales. A pesar de ser una propiedad muy atractiva, los sistemas reales la vulneran fácilmente, y necesitan mecanismos para desclasificar selectivamente alguna información. En esta dirección, Cruz et al. proponen una forma de desclasificación basada en tipos (type-based declassification), en donde se utilizan las relaciones de subtipos del lenguaje para expresar las políticas de desclasificación de los datos que maneja el programa, en una forma simple y expresiva. A pesar de que el fundamento teórico de la desclasificación basada en tipos está bien descrito, carece de una implementación que permita comprobar la utilidad práctica de la propuesta. En este trabajo, se implementa el análisis de la desclasificación basada en tipos para un subconjunto del lenguaje Dart, un lenguaje de programación de propósito general orientado a objetos desarrollado por Google. Además, se implementó un sistema de inferencia de políticas de desclasificación y una extensión para ambientes de desarrollo, con el objetivo de facilitar el trabajo al programador y mejorar su experiencia.

La presente tesis propone desarrollar un sistema auditor de información que brinde visibilidad a solicitud del usuario del estado actual de los equipos de seguridad. Esto abarca poder validar la configuración del directorio activo, así como sus equipos registrados, usuarios y/o grupos; de igual forma con el firewall de seguridad en el cual se hará una revisión de la configuración del equipo y de las políticas de seguridad habilitadas. Mantener un adecuado control de las múltiples configuraciones que se realizan a diario sobres los equipos de seguridad puede llegar a ser una tarea muy complicada, teniendo en cuenta que muchas veces diferentes administradores son los que realizan cambios sobre las plataformas desde su activación inicial. Es por ello que cada cierto tiempo las empresas solicitan auditorías externas las cuales reportan el estado actual de la configuración de los equipos de seguridad y el nivel de cumplimiento de las políticas vigentes. Con el avance de la tecnología se han automatizado muchas tareas y el uso de una computadora es imprescindible dentro de una empresa, ello conlleva a considerar obligatoriamente la seguridad aplicada a la información que viaja a través de las redes internas como factor clave. Hoy en día es común que constantemente surjan nuevas vulnerabilidades en los sistemas y/o equipos de red, por ello contar con una herramienta que ofrezca visibilidad de lo que realmente se encuentra configurado en los equipos de seguridad se vuelve una necesidad. Esta tesis se centra en dar a conocer las posibles brechas de seguridad dentro de la infraestructura de red de una empresa, las cuales pueden generar un alto costo en caso de ser vulneradas por un atacante externo o interno. Ello resalta la importancia de un correcto planeamiento y control al momento de realizar configuraciones en los equipos de seguridad. Un ejemplo de brecha de seguridad en las diferentes empresas ocurre cuando un administrador configura una política de prueba brindando acceso al puerto TCP/80 y se olvida de eliminar dicha política, ello puede conllevar a que algún ataque de tipo Ransomware infecte una máquina y este a su vez se propague a toda la red interna, generando un bloqueo masivo y ocasionando un corte parcial o total de las operaciones. El sistema auditor se conecta al directorio activo y al firewall, vía LDAP y API respectivamente, por medio de una sola interfaz de usuario y mediante diferentes consultas es capaz de extraer información relevante (“actionable insights”), la cual se utiliza para tomar acción rápida ante cualquier evento de seguridad.

El presente trabajo de tesis consiste en el diseño de un módulo que permita instalar, en el switch de datos, reglas de ciberseguridad para instancias con cargas de trabajo HPC con el fin de recuperar la seguridad pérdida en una nube privada OpenStack al evitar (baipasear) la capa de procesamiento de paquetes del hipervisor gracias al uso de SR-IOV en combinación con PCI passthrough. En el primer capítulo se caracteriza el estado de las redes actualmente. Además, se ahonda en las necesidades de aplicaciones como HPC, así como la problemática que presenta el uso de HPC en un entorno cloud. También se define la justificación, relevancia y objetivos de la tesis. En el segundo capítulo se detallan tecnologías relevantes al desarrollo de la tesis, como PCI passthrough y SR-IOV; OpenStack, especialmente el proyecto de Neutron y el feature de security groups; SDN y el controlador OpenDaylight. En el tercer capítulo se realiza el diseño del módulo de ciberseguridad en sí. Partiendo por los requerimientos y consideraciones, primero se describe la arquitectura y luego se realiza el high level design del módulo describiendo cada uno de los componentes que lo conforman. En el cuarto capítulo se realizan las pruebas y obtienen los resultados. Sobre el escenario de pruebas desplegado, se hace uso del módulo de ciberseguridad para comprobar su correcto funcionamiento, verificando que la seguridad en las instancias se garantice. Finalmente, se presentan las conclusiones como análisis de los resultados obtenidos y verificación de que los requisitos planteados hayan sido cumplidos.

Para la obtención de dicha información y recolección de datos se consideró conveniente el uso de las técnicas de recolección de datos tales como encuestas, entrevistas, así como fichas de observación, como medio para poder extraer la información y su posterior interpretación; y de esta manera medir la realidad problemática apoyado en el uso de la Norma ISO/IEC 27001, lográndose determinar las deficiencias para mejorar los niveles de seguridad y confiabilidad en los sistemas de información de dicha institución. Los resultados obtenidos permitieron determinar de forma real que, al incorporar la norma ISO/IEC 27001 basada en una Guía de Implementación. Se logró incrementar los procedimientos utilizados en favor de la Institución permitiéndole la detección de anomalías en la seguridad de la información, reflejado en distintos mecanismos de seguridad para salvaguardarla. Con el Plan de tratamiento de Riesgos, se permitió la disminución de los niveles de riesgos con respecto a los activos de información, considerados amenazas y vulnerabilidades en la institución, esto manifestado en un plan adecuado para abordarlos y tomar las precauciones necesarias que minimicen sus impactos. Finalmente con el Plan de Capacitación y Concienciación puesto en marcha en la Institución, se pudo incrementar el porcentaje de conocimiento por parte del personal en temáticas orientadas a políticas, estrategias de seguridad que beneficien a la institución, teniendo como resultado personal comprometido con la seguridad en favor de la institución. Una correcta implementación de la Guía desarrollada en el presente trabajo de investigación permite incrementar el nivel de seguridad en la misma.

Las empresas agroindustriales de la región Lambayeque constantemente sufren incidentes que comprometen la seguridad de sus activos de información. Según un diagnóstico realizado a una muestra de estas empresas, entre los incidentes más comunes tenemos la paralización de procesos, la pérdida de información, la infección y propagación de virus informáticos. La presente investigación brinda una propuesta de solución frente a los escenarios de riesgo a los que se encuentran expuestos los activos de información. Para ello, se ha realizado el análisis de conceptos, estándares y metodologías relacionados con la gestión de riesgos, los mismos que al ser adaptados al contexto de las empresas agroindustriales proporcionan las guías necesarias para reducir el nivel de riesgo. El objetivo general formulado para la investigación: contribuir en la mejora de la seguridad de los activos de información desarrollando un modelo basado en metodologías de gestión de riesgos de TI para las empresas del sector agroindustrial de la región Lambayeque. El modelo propuesto ha sido validado a través del juicio de expertos midiendo su confiabilidad aplicando el alfa de Cronbach y la concordancia de la evaluación de expertos con base en Kendall. El modelo validado se aplicó en una empresa agroindustrial de la región como estudio de caso. Se realizó la identificación de algunos escenarios de riesgo, así como el cálculo y la clasificación del nivel de riesgo, según los criterios de aceptación definidos. Además, se propusieron proyectos para mitigar los riesgos que no se encontraban en un nivel aceptable para la empresa.