La presente tesis ha realizado una investigación de las normas y estándares que van difundiéndose con mayor énfasis en el mercado peruano, en especial en el sector financiero. Se rescataron los aspectos más saltantes de cada norma y estándar, a partir de los cuales se plantea un esquema de gestión de seguridad de información que puede ser empleado por una institución financiera en el Perú, lo cual permitirá que ésta cumpla con las normas de regulación vigentes en lo relacionado a la Seguridad de Información.

En la actualidad los sistemas que se utilizan para almacenar, procesar y transmitir información se encuentran en toda clase de instituciones de diferentes rubros y funciones. Los sistemas de información se han vuelto más complejos debido a la globalización que tiene por consecuencia que las distancias geográficas ya no supongan un obstáculo. De esta forma se tiene que existe una cantidad cada vez mayor de personas que tienen acceso a información que podría ser crítica para las diferentes empresas e instituciones en las que trabajan. Adicionalmente a este riesgo interno, siempre se tiene presente el riesgo que supone la fuga de información sensible ya sea por medio de personas que cuentan con acceso a dicha información, como por terceros que han accedido a ella mediante algún mecanismo de ataque. En respuesta a este nuevo escenario, las instituciones públicas han sido llamadas a realizar la implementación de diversos controles a través de un Sistema de Gestión de Seguridad de la Información – a través de diferentes normas, entre ellas la Norma Técnica NTP ISO/IEC 27001 – con la finalidad de asegurar el buen uso y protección de la información crítica que manejen, ya sea de clientes o información estratégica interna. El presente trabajo de fin de carrera desarrolla el Análisis y Diseño de un Sistema de Gestión de Seguridad de la Información para una entidad pública del sector Salud – el Instituto Nacional Materno Perinatal – sujeta al cumplimiento de la normativa vigente relativa a Seguridad de la Información.

En la actualidad, el acelerado avance de las tecnologías de redes inalámbricas de sensores la han posicionado como una herramienta ideal para el monitoreo y control de sistemas de seguridad, debido a su óptimo aprovechamiento de la energía, escalabilidad, flexibilidad, bajo costo, además de permitir su gestión de manera remota. Estas tecnologías pueden sustituir los sistemas basados en sistemas de prevención anti-intrusión tradicionales, tales como, rejas de seguridad, puertas blindadas, cercas eléctricas, personal de seguridad, etc. Estos, si bien reducen la probabilidad de robos o asaltos, no permiten un control absoluto de la zona: pueden ser vulnerados con facilidad y no alertan una situación de peligro. La presente tesis tiene como objetivo el diseño de una red inalámbrica de sensores para el monitoreo de un almacén de una empresa de Lima-Perú. Esta tecnología permitirá la prevención de eventos tales como robos o asaltos mediante un control de acceso; y evitará casos de incendios e inundaciones mediante la recolección de datos relevantes de los sensores ubicados en el almacén, los cuales serán enviados a una estación base o nodo principal. La totalidad de información podrá ser visualizada en una interfaz de usuario amigable. Para el desarrollo del sistema mencionado, se realizó un estudio exhaustivo de las tecnologías existentes para redes de sensores inalámbricas, sus características y limitaciones, así como los protocolos y topologías existentes. A partir de esta investigación, se determinó que la tecnología Zigbee es la más adecuada, debido a su reducido consumo de energía, bajo costo y gran simplicidad en hardware y software. En consecuencia, podemos concluir que la red inalámbrica de sensores contribuirá de forma favorable en la seguridad del almacén, y mejorará la calidad de trabajo en la empresa.

En el transcurrir de las últimas décadas, el tema de la seguridad de información se ha convertido en un aspecto vital en la gestión de las organizaciones. Conforme van saliendo a la luz incidentes de seguridad que afectan a grandes empresas internacionalmente reconocidas, la sociedad cada vez más va tomando conciencia de la importancia y el valor que representa la información. Estas incidencias ocurrieron con mayor frecuencia en la década del 2000 con los famosos “Wikileaks”, los cuales, entre otros informes, publicaron diversos documentos de gobiernos de distintos países con contenido muy confidencial. Frente a esta realidad, se observa que el no contar con un programa de seguridad de información que brinde las garantías necesarias para la información en cualquier organización, en medio de un mercado tan competitivo como el actual, representa una desventaja considerable frente a empresas del mismo rubro que sí trabajan el tema dentro de su cultura organizacional. Esta desventaja podría traer pérdidas muy graves, tales como la pérdida de un número importante de clientes o de acuerdos laborales con otras empresas, lo cual afectaría principalmente la parte financiera de la organización, y finalmente podría, si las pérdidas llegan a ser críticas, llevar a la quiebra al negocio. En el caso de instituciones educativas, se puede observar que éstas aún no toman a la seguridad de información como prioridad. Así como también se observa que no existe una cultura de seguridad transversal en dichas entidades. Si bien es cierto que aún no existe una regulación del Ministerio de Educación, no se tendría que esperar que el tema se regule para que recién tomar acción en el establecimiento de controles para mitigar o reducir los riesgos a los que la información de estas entidades está expuesta. Bajo este contexto, el presente proyecto brinda como alternativa el diseño de un Sistema de Seguridad de Información (SGSI) para una institución educativa de nivel superior, tomando la realidad de una entidad educativa local. La presente tesis se enfoca en proteger la información de los procesos principales de esta institución educativa siguiendo normas internacionales vigentes.

Con la reciente publicación de la ley de protección de datos personales y la actualización de las dos (2) principales normas de la familia de la ISO 27000, se verifica la importancia de la información dentro de las organizaciones. En el caso de las empresas prestadoras de servicios de salud, el sector ha ido creciendo tras la necesidad de los clientes por contar con un servicio de excelencia para toda la familia y detección de enfermedades, por ello se crean nuevos programas para tener acceso a estos servicios, teniendo como consecuencia el incremento de datos e información. Por esa razón, se ven en la necesidad de incrementar y/o mejorar su infraestructura tecnológica para soportar sus procesos de negocio, mejorando la calidad y rapidez de sus servicios, integrando datos provistos por otras entidades y velando por la confidencialidad de la ellos de acuerdo al marco regulatorio al que están sujetas. No obstante, se debe garantizar el alineamiento estratégico y la correspondencia de esta tecnología con los objetivos de negocio que aseguren el retorno de la inversión. A partir de lo expuesto, se plantea una solución integrada que brinde un enfoque estratégico y comprometa a la Alta Dirección para que participe del cambio que conlleve a que las empresas logren sus objetivos de la mano de tecnología correctamente gestionada. Esta solución es diseñar un Gobierno de Tecnología de Información con enfoque a seguridad de información, velando por el cumplimiento de los cinco (5) pilares que son el alineamiento estratégico, la entrega de valor o retorno de inversión, medición del desempeño de TI, gestión de riesgos y gestión de recursos. Para el proyecto se empleará un marco de negocio mundialmente reconocido, COBIT 5.0, que brinda buenas prácticas para implementar esta solución dentro de cualquier organización según sea el contexto. Así mismo, integra una serie de marcos reconocidos y permite su uso desde una alta perspectiva de negocio y finalmente presentarse como una alternativa de solución ante una problemática generalizada a nivel estratégico y tecnológico en las empresas prestadoras de servicio de salud.

La presente tesis consiste en el diseño e implementación de una red LAN (Local Area Network) y WLAN (Wireless Local Area Network) con sistema de control de acceso AAA (Authentication, Authorization and Accounting). El primer paso fue implementar una red LAN utilizando el mecanismo Etherchannel y el protocolo de balanceo de carga en la puerta de enlace GLBP (Gateway Load Balancing Protocol) para optimizar el uso de recursos de la red. Luego se implementó el servidor ACS (Access Control Server) que utiliza el protocolo TACACS+ para centralizar el acceso de los administradores de los equipos de la red. En lo que concierne a la WLAN, se instaló el servidor IAS de Windows, luego se verificó que el punto de acceso inalámbrico (Access Point - AP) cumpla con el estándar de autenticación IEEE 802.1x que se usó como intermediario entre la capa de acceso y el algoritmo de autenticación, finalmente se configuró con el mecanismo de autenticación WPA-Enterprise. En el primer capítulo se definió todas las tecnologías que se emplearon en la implementación de la solución y cuál fue la evolución tecnológica para llegar a ellas. El estudio se hizo de manera separada para la LAN y para la WLAN porque al tratarse de redes con interfaces diferentes, cada una tiene definida de forma independiente métodos y estándares de seguridad para el acceso a la red. En el segundo capítulo se planteó un estudio del problema y se le ubicó en un escenario real con el fin de especificar las exigencias de la empresa, la cual requiere una solución de una red LAN y WLAN que garantice la seguridad de la información y el uso adecuado de los recursos de la red. En el tercer capítulo se diseñó la solución, realizando un análisis de los requerimientos propuestos en el segundo capítulo. Una vez terminado el análisis se decidió cuales de los métodos y estándares estudiados en el capítulo uno se usarían en la implementación. En el cuarto capítulo se muestran los resultados y el análisis de la implementación de la solución diseñada en el laboratorio de redes de la especialidad En el quinto capítulo se realizó el análisis económico para medir la rentabilidad del proyecto haciendo uso de la tasa interna de retorno (TIR) y el valor actual neto (VAN) como métodos financieros de inversión.

El presente proyecto de fin de carrera responde a la necesidad creada a causa de las normativas publicadas por la Oficina Nacional de Gobierno Electrónico e Informática (ONGEI) que declaran de uso obligatorio las Normas Técnicas Peruanas NTP-ISO/IEC 27001:2008 y NTP-ISO/IEC 17799:2007 (con fechas de publicación mayo 2012 y julio 2011 respectivamente) a una lista de empresas del estado peruano que pertenezcan y/o estén involucradas en la Administración Pública con la finalidad de establecer un modelo integral para el desarrollo de los planes de seguridad de la información de la misma. Esta necesidad, a causa del carácter obligatorio de las normas mencionadas, es reconocida como la atención a la falta de procedimientos que permitan realizar auditorías que verifiquen el cumplimiento de la NTP-ISO/IEC 17799 como parte del proceso de cumplimiento integral de la NTP-ISO/IEC 27001 en las empresas del estado peruano. La elaboración de estos procedimientos estarán basados en COBIT 5.0, publicado en mayo de 2012, nuevo estándar de facto para Tecnologías de Información reconocido internacionalmente. Estos procedimientos estarán acompañados de la declaración de aplicabilidad para la norma NTP-ISO/IEC 17799 para poder definir los controles que serán establecidos e implementados por la institución, un Inventario de activos de información comúnmente relacionados con los controles presentes en la NTPISO/ IEC 17799 y un Mapeo del marco COBIT 5.0 frente a la norma NTP 17799 identificando la correspondencia de los dominios de COBIT hacia los controles de la NTP.

En el trabajo realizado se presenta una solución de seguridad perimétrica que cubra los requerimientos de una red de computadoras de una empresa pequeña. Se muestra además una simulación del diseño propuesto en un ambiente de pruebas controlado. En el primer capítulo se presenta el estado actual y riesgos de la información, y la importancia de la misma. Se presenta además la seguridad perimetral de la red de datos como parte de una problemática mayor. La seguridad de la información. En el segundo capítulo se muestra en detalle y de manera técnica, los riesgos, amenazas contra la integridad de una red de computadoras de una empresa pequeña y las contramedidas que pueden ser adoptadas. En el tercer capítulo se explica el escenario de trabajo, sus requerimientos y sus necesidades sin especificar aun producto alguno, sea software o hardware. En el cuarto capítulo se presentan los criterios que fueron tomados en consideración para la selección de la solución más idónea para el escenario planteado en el tercer capítulo. En el quinto capítulo, se desarrollan la política de seguridad que debe ser aplicada en la solución seleccionada en el cuarto capítulo, se plasma en los componentes que la conforman y se evalúa su desempeño en un ambiente de pruebas. Finalmente se presenta las conclusiones que se desprenden del análisis del escenario planteado, así como las recomendaciones para mantener un nivel de seguridad adecuado.

Los procesos electorales se modernizan al utilizar el voto electrónico como una herramienta que incorpora las tecnologías de información y comunicación a la jornada electoral. El acto de votar puede ser manual o electrónico, en ambos casos puede ser presencial o no presencial. En la modalidad de voto electrónico presencial, el ciudadano va al local de votación a emitir su voto en un equipo electrónico que le permite manifestar su voluntad electoral. El presente trabajo tiene como objetivo el diseño y la implementación de un prototipo funcional de equipo de voto electrónico presencial, que permita al elector ejercer su derecho de elegir. El equipo permite seleccionar una agrupación política o un candidato, de la lista mostrada en un papel impreso, mediante la acción del elector al tocar y presionar con el dedo, sobre una lámina táctil transparente. La selección ocurre al observar la luz de color rojo de un diodo emisor de luz, al costado de la imagen del símbolo de la agrupación política. El equipo es habilitado para permitir ejecutar un solo voto por elector, mediante una llave electrónica conectada al equipo. En la conexión de la llave se implementa un canal de comunicación con un protocolo serial. Los resultados de la votación son almacenados en la llave electrónica y presentados al final de la votación, mediante una aplicación de software mostrada en una computadora personal.

Los sistemas de alarma contra incendio se encuentran desarrollados para cumplir el objetivo de detectar eventos de incendio en áreas estructurales de inmuebles que no son monitoreados de forma constante por un personal de mantenimiento, seguridad o por los inquilinos propios. Actualmente las tecnologías mas usadas están determinadas por sistemas convencionales e inteligentes contra incendio caracterizado por una transmisión de datos por cables de 2 o 4 hilos. A través del siguiente trabajo se realizará un diseño de una red de alarma contra incendio completamente inalámbrica entre la interconexión de los dispositivos de iniciación, panel de control y dispositivos de anunciación pertenecientes a una red de área personal configurado a través de un protocolo de comunicaciones (Zigbee) de bajo consumo de energía. El objetivo principal es diseñar una red inteligente de detección con capacidad de direccionar cada uno de los componentes para reconocer áreas del inmueble de forma totalmente independiente a través de un entorno inalámbrico, de igual manera la gestión y organización de los datos obtenidos en panel de control basado en un microcontrolador anexado a un módulo coordinador.