Contraseñas, no pierdas la costumbre

En el tema de la seguridad, la comodidad se paga y puede que el precio sea alto. En ocasiones, tendemos a relajarnos tras un periodo en el que no hemos tenido ningún problema con los passwords / contraseñas que habitualmente manejamos.

Sirva esta entrada a modo de recordatorio, quizás pueda parecer una obviedad pero no está de más recordarlo.
Procura realizar combinaciones de números, letras y $1mb0l0$ (símbolos) y que la o las palabras utilizadas no figuren en un diccionario, para de este modo prevenir ataques que posibiliten adivinarlas por técnicas de fuerza bruta (se utiliza un programa específico para ello, al cual se le carga un dicicionario en formato texto que contiene una lista de palabras comunes y muchos passwords por defecto, que durante horas e incluso días puede estar trabajando hasta dar con la clave).

Se también prudente con las preguntas-respuestas para recordar la contraseña, en la mayoría de las ocasiones, los ataques sobre este tipo de datos se valen de la ingeniería social o lo que es lo mismo, el conocimiento de datos personales y costumbres de la posible víctima para hacerse con ellos.

Es por ello que no hay que caer en el error de usar fechas como tu cumpleaños, aniversarios, números de teléfono, PIN de tu tarjeta o datos similares.

Comentaros también que cuanto más variadas sean las contraseñas para todas vuestras cuentas mucho mejor.
A veces se tiende a usar un mismo password para múltiples servicios tales como; correo electrónico, FTP, mensajería instantánea, foros, blogs, etc, con lo que el impacto de la adivinación o crackeo de la contraseña en cuestión, será mucho mayor aún.

Para acabar, os recuerdo que hay programas para todas las plataformas, muchos gratuitos y que una vez definida una contraseña maestra, almacenan el resto de passwords pudiendo con esa contraseña maestra previamente almacenada, recuperarlos. Caso por ejemplo del Keepass.
Eso si, como perdáis ese password de acceso, ya os podéis olvidar del resto -;).

Por cierto, todas estas indicaciones no servirán de mucho si no se cambian frecuentemente, según su grado de importancia.

Autenticación en SIP para LINUX

El protocolo SIP utiliza la autenticación digest para la autenticación de los clientes. La autenticación digest es un mecanismo simple de autenticación desarrollada originalmente para HTTP (se le llama con frecuencia HTTP digest). El mecanismo de autenticación es muy simple, está basado en hashes criptográficos que evitan que se envíe la contraseña de los usuarios en texto claro.

La autenticación digest verifica que las dos partes que se comunican conocen un secreto compartido, que es la contraseña. Cuando un servidor quiere autenticar a un usuario, genera un desafío digest y se lo manda al usuario. Un ejemplo de desafío puede ser el siguiente:

Digest realm="iptel.org", qop="auth,auth-int",
 nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", opaque="", algorithm=MD5

Consiste en una serie de parámetros que son enviados al usuario. El usuario entonces utiliza los parámetros para generar una respuesta digest adecuada y enviársela al servidor. Los parámetros del desafío digest son los siguientes:

1. realm: Es un parámetro obligatorio y debe estar presente en todos los desafíos. Su propósito es identificar las credenciales dentro de un mensaje SIP. Normalmente es el dominio del cual el servidor proxy SIP es responsable.
2. nonce: es un string de datos generado únicamente cada vez que un servidor genera un desafío digest. Se construye a partir del hash MD5 de algún dato. Dicho dato normalmente incluye un sello de tiempo y la frase secreta (contraseña) que tiene el servidor. De esta manera se asegura que cada nonce tenga un tiempo de vida limitado (que no puede volver a ser usado más tarde) y también es único (ningún otro servidor será capaz de generar el mismo nonce). Los clientes generan la respuesta digest a partir del nonce, así el servidor recibirá el contenido del nonce en una respuesta digest. Normalmente verifica la validez del nonce antes de que compruebe el resto de la respuesta digest. De manera que, el nonce es un tipo de identificador que se asegura de que las credenciales digest recibidas han sido realmente generadas para un desafío digest concreto, y además limita el tiempo de vida de la respuesta digest, evitando que se vuelvan a lanzar ataques en el futuro.
3. opaque: es un string de datos que se envía al usuario en el desafío. El usuario pasará el string de datos de vuelta al servidor en la respuesta digest. Esto permite a los servidores no mantener información sobre el estado. Si hay algún estado que ellos necesitan mantener entre el desafío y la respuesta, pueden pasárselo al cliente utilizando este parámetro y leerlo otra vez más tarde cuando la respuesta digest venga.
4. algoritmo: el algoritmo utilizado para calcular los hashes. Sólo está soportado MD5.
5. qop: la protección de la calidad. Especifica qué esquemas de protección soporta el servidor. El cliente elegirá una opción de la lista. El valor “auth” indica sólamente autenticación, el valor “auth-int” indica autenticación con protección de la integridad.

Después de recibir el desafío digest, un agente de usuario pedirá al usuario el nombre de usuario y la contraseña (si no está preconfgurado), generará la respuesta digest y la enviará al servidor. Una respuesta digest podría ser así:

Digest username="jan", realm="iptel.org",
 nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", uri="sip:iptel.org",
 qop=auth, nc=00000001, cnonce="0a4f113b",
 response="6629fae49393a05397450978507c4ef1", opaque=""

Como podemos ver, la respuesta digest es similar al desadío digest. Los parámetros que coinciden tienen el mismo significado que en el desafío digest. Vamos a describir brevemente sólo los siguientes parámetros:

1. uri: contiene el uri al que el cliente quiere acceder.
2. qop: el nivel de protección elegido por el cliente.
3. nc: contador de nonce, el valor es el contador en hexadecimal del número de peticiones (incluyendo la petición actual) que el cliente ha enviado con el nonce en su petición. Por ejemplo, en la primera petición enviada en respuesta a un nonce dado, el cliente manda “nc=00000001″. La finalidad de esta directiva es permitir que el servidor detecte peticiones de replay manteniendo su propia copia de este contador.
4. cnonce: el valor es un string proporcionado por el cliente y utilizado tanto por el cliente como por el servidor para evitar ataques de texto plano elegidos, para proporcionar autenticación mutua y protección de la integridad del mensaje.
5. response: es un string generado por el agente de usuario (cliente) que prueba que el usuario sabe la contraseña.

Desde la recepción de una respuesta digest, el servidor recalcula el valor de la respuesta para comparar, utilizando los atributos que da el cliente y el password almacenado en el servidor. Si el resultado es idéntico a la respuesta recibida desde el cliente entonces dicho cliente está autenticado.

Cuando un servidor SIP recibe una petición SIP y quiere verificar la autenticidad del usuario antes de procesar las peticiones, comprueba si la petición contiene las credenciales de digest. Si no hay credenciales en la petición SIP, generará una respuesta final negativa e incluirá el desafío digest en la respuesta.

Cuando el cliente recibe la respuesta conteniendo el desafío digest, debe calcula la respuesta digest adecuada y enviar la petición de nuevo, esta vez incluyendo las credenciales digest. El servidor entonces verifica la respuesta digest y procesa que la petición se ha realizado con éxito. Los agentes de usuario SIP utilizan la respuesta “401 Unauthorized” para incluir el desafío digest.

Confiar o no confiar y, sobre todo, en quién confiar es la cuestión

En la era de la información al por mayor y las comunicaciones a la velocidad del rayo, la seguridad toma otra cara. Ya no hablamos de guardias o vigilantes en la puerta de los bancos, ya no cuidamos solo personas o dinero, hablamos de cuidar la información de nuestras computadoras personales o portátiles y de las grandes bases de datos a niveles nacionales e internacionales, hablamos de resguardar programas y operaciones informáticas por medio de claves secretas, escondidas al ojo humano y creadas desde el corazón mismo de cada ordenador, digámosle, desde el hardware. En conclusión, a lo que nos referimos, es a una especie de “guachimán” ubicado en plena tarjeta madre, que marca criptográficamente todo documente que pasa por ahí, a este sistema de seguridad se le llama Trusted Computer, Informática de Confianza.

¿Cómo funciona el mecanismo de seguridad?
En la tarjeta madre de cada computador con Informática de Confianza se encontraría un dispositivo, compuesto por chips (Trust Plattform Module), que sería el encargado de enviar a todo el software una “firma” digital. Esta firma digital, sería además cambiada cada vez que se encienda la máquina y estará escrita con un código secreto (lenguaje criptográfico), que solo podrá ser leída por el Trust Plattform Modul. Así mismo, cada dato, programa o dispositivo que se quiera usar, debe tener también su respectiva “firma”, de lo contrario no será leído por nuestra computadora de confianza.

¿Por quién y para qué fue creado este sistema?

Este sistema de seguridad fue ideado, nada más y nada menos, que por Bill Gates & Co., en un intento por luchar contra la piratería y, de paso, contra la libre competencia. Un grupo de empresas, entre ellas Microsoft, IBM, Intel y Hewlett Packard, emprendió la creación de un sistema de seguridad que resguarde la información de sus usuarios y los derechos de propiedad de sus productos. Dicho grupo se autodenominó Trusted Computer Plattform Allience (TCPA), luego simplificarían el nombre a simplemente Trusted Computer Group (TCG). Los primeros intentos fueron dirigidos, sobre todo, a archivos de música y video. Con este sistema, solo podrán ser vistas las películas originales y cualquier CD « quemado » resultaría imposible de leer. Lo mismo pasaría con cualquier otro programa que no cuente con la « firma » digital correspondiente.

Entonces, ¿qué de provechoso puede traer este sistema a los usuarios?

Con la incursión de la informática de confianza la información y datos que almacenamos serán casi imposibles de plagiar, sobre todo en el caso de empresas o entidades públicas que manejan grandes bases de datos o documentos confidenciales. Pues cada palabrita escrita en una máquina dotada con los chips de confianza, será imposible de leer en cualquier otra máquina que no tenga ese sistema e incluso, los documentos pueden estar programados (desde el hardware, por lo que no se podría modificar con ningun comando) para ser destruídos en un tiempo determinado. Con esto ningún Fulano de Tal podrá copiarse la información en un CD y vendérsela al mejor postor, puesto que el mejor postor no podrá leer información alguna, mientras que en la computadora original se codificará desde la hora en que los datos fueron tomados, hasta la marca de CD de don Fulano.

¿Y dónde está lo negativo del asunto entonces, para cualquier simple mortal que no quiera robar información?

Digamos que ahora Fulano es un simple mortal que desea postular a una gran empresa, que usa Trusted Computer hasta en las máquinas de la cafetería. Por supuesto Fulano ni enterado que el sistema existe y aunque estuviera enterado, no le alcanzaría para esos lujos, así que redacta su Curriculum Vitae, en su insegura PC, y lo envia por E-mail, tal como se lo informó la secretaria. Bueno lo que sucederá, es que nadie en la empresa podrá leer el CV que con tanto esmero redactó Fulano. De esa manera, se perdería la capacidad que nos brinda la internet de compartir información desde diversos puntos del planeta y en diversos formatos. Uno tendría que comprar solo computadoras de ese sistema, dejando de lado a los programadores alternativos y otros creadores de hardware.

Reglamento de Evaluacion y Certificacion de la Saguridad de las Tecnologias de la Informacion

Se ha publicado en España en el BOE la Orden PRE/2740/2007, de 19 de septiembre, por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información. En el preámbulo de la Orden se especifican los motivos de la puesta en marcha de este necesario y esperado Reglamento.

La utilización de las Tecnologías de la Información (TI) en amplias áreas de la actividad de la Administración, así como la creciente participación de España en proyectos de desarrollo de la sociedad de la información de carácter internacional, imponen la necesidad de garantizar un nivel de seguridad en la utilización de las TI equiparable, como mínimo, al conseguido en el tratamiento tradicional de la información en soporte papel.

Por tanto, la seguridad que las TI deben poseer, ha de abarcar la protección de la confidencialidad, la integridad y la disponibilidad de la información que manejan los sistemas de información, así como la integridad y disponibilidad de los propios sistemas. La garantía de seguridad de las Tecnologías de la Información debe estar basada en el establecimiento de mecanismos y servicios de seguridad, adecuadamente diseñados, que impidan la realización de funciones no deseadas.

Uno de los métodos, admitido internacionalmente, para garantizar la corrección y efectividad de dichos mecanismos y servicios, consiste en la evaluación de la seguridad de las TI, realizada mediante la utilización de criterios rigurosos, con posterior certificación por el organismo legalmente establecido.

El Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información, regula el marco de actuación, y crea los organismos necesarios, para poner estos procesos de evaluación y certificación al alcance de la industria y de la Administración; todo ello basado en el Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información.

Se crea un laboratorio de evaluación, el Centro de Evaluación de la Seguridad de las Tecnologías de la Información, CESTI, del Instituto Nacional de Técnica Aeroespacial, INTA. Este laboratorio fue acreditado, siguiendo este mismo Reglamento, como laboratorio de evaluación de la seguridad de las Tecnologías de la Información.

Por otra parte, se hace necesaria la participación de un organismo de certificación, que partiendo de un conocimiento de las Tecnologías de la Información y de las amenazas y vulnerabilidades existentes, proporcione una garantía razonable a los procesos de evaluación y certificación.
Dicho organismo se constituye al amparo de la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, que encomienda a este Centro el ejercicio de las funciones relativas a la seguridad de las Tecnologías de la Información, y según lo dispuesto en el Real Decreto 421/2004, de 12 de marzo, por el que se regula el Centro Criptológico Nacional, entre cuyas funciones está la de constituir el Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información.

El Reglamento contiene los objetivos, organización del Organismo de Certificación y los procedimientos de certificación, con los requisitos de los Laboratorios de Certificación y su acreditación, y la acreditación por estos de Sistemas y productos.

Los laboratorios tendrán que tener capacidad para la evaluación de la seguridad de productos de las Tecnologías de la Información, demostrada mediante la acreditación de la competencia técnica en vigor, conforme a la norma UNE-EN ISO/IEC 17025, cuyo alcance incluya los criterios, métodos y normas de evaluación siguientes:

Los criterios de evaluación serán los recogidos en las siguientes normas:

• Common Criteria for Information Technology Security Evaluation, CC. ISO/IEC 15408, Evaluation Criteria for IT Security. Information Technology Security Evaluation Criteria - Office for Official Publications of the European Communities.
• Las metodologías de evaluación serán las recogidas en las siguientes normas: Common Methodology for Information Technology Security Evaluation, CEM.ISO/IEC 18045, Methodology for IT Security Evaluation.Information Technology Security Evaluation Manual, ITSEM. Office for Official Publications of the European Communities.
• Los requisitos de seguridad específicos serán los recogidos en la norma ISO/IEC 19790, Requisitos de Seguridad para Módulos Criptográficos.

Descifrar Contraseñas Hash MD5

MD5 es un algoritmo de reducción criptográfico de 128 bits ampliamente usado (wikipedia). El uso de este algoritmo es muy utilizado para cifrar contraseñas en sistemas web y en lo que cabe es bueno, solo que la ingeniería inversa va hacia adelante ya mencionábamos del programa para hackear cuentas de hotmail con el cual podíamos hackear contraseñas de hotmail, gmail y otros de una manera por demás sencilla, y ahora gracias a BaluArt me entero de esta sitio web que en base a la palabra que permite revelar contraseñas en MD5.

Dependiendo la frase o palabra que le pongas te da el valor en MD5 y viceversa es decir que si alguien obtiene el hash MD5 de nuestro password únicamente con ponerlo en el sitio le va a revelar la palabra legible.
Descifrar Passwords en MD5

Claro esta que la base de datos que contiene ese sitio contiene las palabras mas comunes, aunque supongo que constantemente aumenta el tamaño de su base de datos es por eso que tenemos que tener cuidado al momento de elegir nuestras contraseñas, cuidar que no sean palabras comunes mezclando letras y números por ejemplo.

Por que no duden que con este tipo de herramientas los “pseudohackers” lo tienen mas fácil para hacer de las suyas.

NTFS vs FAT32

Según la información a guardar y el uso que queramos dar a una partición optaremos por un sistema de archivos u otro. FAT32 surge con Windows 95 para mejorar el aprovechamiento de espacio en disco frente al anterior sistema (FAT16) así como para superar algunas restricciones impuestas por este último sistema de ficheros.

Las principales ventajas de FAT32 sobre FAT16 consisten en que permite crear particiones de mayor capacidad, así como archivos más grandes y un mayor número de éstos en cada partición.

El otro sistema de archivos, NTFS, introducido a nivel doméstico en Windows XP, aporta la seguridad necesaria para acceder a la Red con las máximas garantías. Esta solución ofrece prestaciones relativas a la seguridad y la organización de los datos, como el sistema de cuotas, el cifrado de archivos o el montaje de volúmenes, entre otras.

A la hora de elegir un sistema de archivos u otro debemos valorar el uso que vamos a dar a la partición, así como nuestras necesidades en lo que al rendimiento y la seguridad se refiere.

Por esta razón, creemos que en la actualidad los usuarios de Windows deben considerar NTFS como la opción más interesante para la mayor parte de las particiones, considerando el sistema FAT32 para aquellas de pequeño tamaño en las que debe primar un rendimiento elevado ante todo, como aquellas utilizadas para la creación de ficheros temporales o para albergar el archivo de paginación.

Cómo defender a su empresa de la ingeniería social

La ingeniería social es una de las técnicas de hacking más antiguas de la informática –casi tanto como ella misma– con la que un hacker puede penetrar hasta en los sistemas más difíciles usando la vulnerabilidad más grave de todas: la humana.

Básicamente, la ingeniería social es el arte o ciencia de conseguir que las personas cumplan los deseos de otra. No es ningún tipo de magia ni nada por el estilo, se basa en lograr que los trabajadores realicen tareas típicas de su trabajo de una manera natural, y aunque pueda parecer algo raro, ésta es una de las técnicas favoritas de los hackers expertos para obtener información sobre un determinado objetivo o penetrar en sistemas informáticos.

Implica más que una simple llamada inocente con la que recabar información usando un tipo de acento vocal determinado. La ingeniería social implica una fase de trabajos a nivel más bajo (groundwork) para obtener la información necesaria, como el conocer los datos internos de la empresa, número de servidores, etc. Esto muchas veces se consigue entablando una conversación ridícula con los empleados que tienen acceso directo a los objetivos del atacante como se analizará a continuación (la mayoría del trabajo se encuentra en la preparación y no en la acción propiamente dicha).

Puede pensar que este artículo es simplemente una falsa excusa para demostrar como estas técnicas pueden ser usadas para realizar hacking, pero, en la realidad, la única forma de defenderse contra este tipo de ataques de seguridad es conociendo qué métodos pueden ser usados. Con estos conocimientos es posible prevenir brechas de seguridad en su empresa antes de que nadie pueda conseguir ningún dato confidencial.

LA PARTE MÁS DELICADA DE LA SEGURIDAD INFORMÁTICA

Sin duda, la parte más delicada de la seguridad informática está representada por el factor humano más que por la aplicación de las medidas de seguridad habituales como aplicación de parches diarios o el uso de firewalls bien configurados. Es más, conviene recordar que el único ordenador seguro es el que no está encendido. De hecho, en este caso, ni siquiera la regla anterior tiene sentido, ya que un hacker puede ser capaz de persuadir a un empleado para que conecte el ordenador y luego poder realizar el tipo de intrusión necesario, todo esto usando sólo la ingeniería social.

Por ello, la parte humana de una cadena de seguridad es la más esencial. No existe ningún sistema informático que no dependa de humanos. Esto significa que esta vulnerbilidad es universal, independientemente de la plataforma, etc.Toda persona con acceso físico a algún sistema crítico es potencialmente un problema de seguridad. Cualquier información dada puede ser usada contra una propia empresa. Sin ir más lejos, las personas que habitualmente no son consideradas parte de una política de seguridad pueden ser usadas para crear una brecha en su sistema.

En realidad este es un problema más grave de lo que se podría imaginar en un primer momento. Los expertos en seguridad normalmente no están preparados para actuar frente a estos casos de hacking, ya que no dependen directamente de las máquinas, si no de los humanos.

Ataques de Inyección SQL afectan a 70,000 sitios Web

Ataques automáticos se propaga en ambientes gubernamentales, educativos, así como en sitios comerciales.

De acuerdo con investigadores, en los últimos días, un ataque automático “SQL injection” ha causado que unos 70,000 sitios Web dirijan a los usuarios hacia código malicioso.

El ataque añade una etiqueta JavaScript a cada pieza de texto en una base de datos SQL de un sitio Web, comentaron los investigadores. La etiqueta provoca que cualquier navegador que descargue un sitio, ejecute el script que está alojado en el servidor malicioso.

El ataque automático afecta a un amplio rango de sitios Web, dijeron los investigadores. "Este fue un buen ataque masivo", dijo Roger Thompson en su blog, investigador en Exploit Prevention Labs -- ahora parte de Grisoft -- "Es suficiente con entrar a una granja de servidores, pues las víctimas fueron muy diversas; quizás el único punto en común sea la vulnerabilidad que todos comparten".

El Internet Storm Center del SANS Institute dijo que el ataque afectó a instituciones gubernamentales y educativas así como a sitios comerciales. El ataque “SQL injection” también puede ser parte de los problemas de seguridad experimentados por Computer Associates durante el fin de semana, dijo el SANS.

Irónicamente, el ataque fue lanzado usando una antigua vulnerabilidad de cliente, y ha sido relativamente fácil de solucionar, dijo Thompson.

"El único exploit que fuimos capaces de descubrir fue el venerable MS06-014 (MDAC) solucionado en septiembre de 2006", dijo Thompson. "Esto significa que los intrusos se concentraron en el problema de preparar un buen exploit para sitios Web y en hacerlo masivo, pero luego usaron un viejo y mohoso exploit. Es casi una ironía".

Redes Privadas Virtuales - VPN

VPN (Virtual Private Network) es una extensión de una red local y privada que utiliza como medio de enlace una red publica como por ejemplo, Internet. También es posible utilizar otras infraestructuras WAN tales como Frame Relay, ATM, etc.

Este método permite enlazar dos o mas redes simulando una única red privada permitiendo así la comunicación entre computadoras como si fuera punto a punto.

También un usuario remoto se puede conectar individualmente a una LAN utilizando una conexión VPN, y de esta manera utilizar aplicaciones, enviar datos, etc. de manera segura.

Las Redes Privadas Virtuales utilizan tecnología de túnel (tunneling) para la transmisión de datos mediante un proceso de encapsulación y en su defecto de encriptación, esto es importante a la hora de diferenciar Redes Privadas Virtuales y Redes Privadas, ya que esta ultima utiliza líneas telefónicas dedicadas para formar la red. Mas adelante explicare mas en profundidad el funcionamiento del túnel.

Una de las principales ventajas de una VPN es la seguridad, los paquetes viajan a través de infraestructuras publicas(Internet) en forma encriptada y a través del túnel de manera que sea prácticamente ilegible para quien intercepte estos paquetes.

Esta tecnología es muy útil para establecer redes que se extienden sobre áreas geográficas extensas, por ejemplo diferentes ciudades y a veces hasta piases y continentes. Por ejemplo empresas que tienen oficinas remotas en puntos distantes, la idea de implementar una VPN haría reducir notablemente los costos de comunicación, dado que las llamadas telefónicas (en caso de usar dial-up) serian locales(al proveedor de Internet) o bien utilizar conexiones DSL, en tanto que de otra manera habría que utilizar líneas dedicadas las cuales son muy costosas o hacer tendidos de cables que serian mas costosos aun.

Cabe destacar que un ventaja de seguridad es que provee de encriptacion y encapsulacion de datos de manera que hace que estos viajen codificados y a través de un túnel.

Buenas prácticas para la seguridad corporativa

La seguridad de los datos y transacciones es de vital importancia en esta época de rápida expansión de las redes informáticas comerciales y oficiales, y de la nueva economía basada en Internet. Los retos que se derivan de la seguridad se han convertido en los más importantes en todas aquellas compañías que hacen uso de las tecnologías de la información.

El término seguridad informática es una generalización para un conjunto de tecnologías que ejecutan ciertas tareas relativas a la seguridad de los datos. El uso de estas tecnologías de forma eficiente para asegurar una red corporativa requiere que se integren dentro de un plan global de seguridad.

El proceso de planificación para su implantación correcta supone:

• Adquirir una comprensión en detalle de los riesgos potenciales del entorno (por ejemplo, virus, hackers y desastres naturales).

• Realizar un análisis proactivo de las consecuencias y mediciones de los posibles agujeros de seguridad en relación con los riesgos.

• La creación de una estrategia de implantación cuidadosamente planificada para integrar las medidas de seguridad dentro de todos los aspectos de una red corporativa, en base a esa comprensión y análisis.

Buenas prácticas para la Seguridad Corporativa es una recopilación de documentos que se centran en diferentes aspectos de la seguridad en las redes corporativas. Estos documentos se clasifican en tres categorías generales que responden a los diferentes niveles de conocimiento necesario para crear e implantar un concepto de seguridad con éxito. La estructura también permite a los lectores aproximarse al problema de la seguridad a partir de sus áreas personales de experiencia e interés..