Tarea 5

9/8/2022
Tarea #5
Angela Guadalupe García
Ibarra1805469
Grupo: 063
DASI
Ing. Héctor Olaff Cantú Moreno
CONTROLES DE ACCESO DENTRO DE LA GESTIÓN DE LA
CRIPTOGRAFÍA
El método de autenticación más común, y necesario como es una contraseña para el correo
corporativo de un usuario, ésta hace uso de criptografía para ser cifrada y dar más seguridad.
Las páginas web, portales y sitios corporativos pueden implementar los protocolos SSL/TLS
para el envío de información segura (cifrada) entre el servidor de aplicaciones y el cliente. Con
un SSL los navegadores solicitan, dan prioridad y énfasis a los sitios con estos certificados, las
herramientas de mensajería instantánea como Telegram y WhatsApp en estos momentos
manejan cifrado punto a punto, Windows utiliza criptografía con las contraseñas, pins, huellas
o reconocimiento facial en sus dispositivos. También Linux y Mac implementan el cifrado de
nuestras contraseñas: se puede añadir una contraseña para abrir un archivo PDF.
¿Cuándo utilizar los controles criptográficos?

Los controles criptográficos deben utilizarse de forma que no sea necesario utilizar la
información confidencial para protegerla contra cualquier acceso no deseado. La criptografía es
la ciencia de la escritura en código secreto, mientras que el cifrado es un mecanismo específico
para poder convertir la información en un código diferente que pueda ser descifrado sólo por
las personas autorizadas.
➢ Algunos ejemplos en los que podemos utilizar controles criptográficos son:
➢ Contar con un dispositivo con información confidencial que se encuentre fuera de la
organización.
➢ Tiene que enviar un correo electrónico con información confidencial.
➢ Tiene un servidor de archivos con una carpeta en la que todos los trabajadores tienen
acceso, pero uno o varios archivos contienen información confidencial.
➢ Contar con un sitio web público en el que todos los usuarios puedan acceder mediante
la introducción de nombre de usuario y contraseña.
➢ Contar con un sitio web desde el que se pueda ofrecer un comercio electrónico y que
tenga una pasarela de pago.
➢ Los trabajadores conectan con la red corporativa desde casa para acceder a los recursos
corporativos.
Claves y certificados.
Existen muchos algoritmos de encriptación, AES es uno de los más conocidos y potentes.
Por lo tanto, el experto en criptografía debe ser definido no sólo por la política de seguridad
establecida por el Sistema de Gestión de Seguridad de la Información, sino que también
cuente con un algoritmo de cifrado. Este algoritmo no tiene que ser el mismo en todas las
situaciones, aunque siempre que sea posible se recomienda.
Por otro lado, para cifrar la información, es necesario contar con una clave. Cuando la clave
para cifrar y descifrare es la misma debemos tener un modelo de criptografía simétrica,
mientras que, cuando sea diferentes debemos contar con un modelo de criptografía
asimétrica. En ambos casos, el mecanismo para almacenar claves de forma segura es
necesario para establecer el lugar en el que sólo las personas autorizadas tengan acceso.
Controles criptográficos y evaluación de riesgos
No tenemos que olvidar que la aplicación de los controles de seguridad según el Sistema de
Gestión de Seguridad de la Información incluye todos los controles criptográficos, tiene que
ser sobre la base de los resultados del análisis de riesgos. Por lo tanto, el nivel de protección
de la información requerida debe ser identificado, pero teniendo en cuenta el tiempo, la
complejidad y la calidad del algoritmo de cifrado requerido.
Gestión de claves
La gestión de claves debe criptográficas debe apoyar el uso de las técnicas criptográficas
en la organización.
Guía de Implementación
Se deberían proteger todos los tipos de claves de su modificación o destrucción; las claves
secretas y las privadas además requieren protección contra su distribución no autorizada.
Con este fin también pueden usarse técnicas criptográficas. Se debería utilizar protección
física para cubrir el equipo usado en la generación, almacenamiento y archivo de claves.
El sistema de gestión de claves se debería basar en un conjunto acordado de normas,
procedimientos y métodos seguros para:
a) generar claves para distintos sistemas criptográficos y distintas aplicaciones;
b) generar y obtener certificados de clave pública;
c) distribuir claves a los usuarios previstos, incluyendo la forma de activar y recibir las claves.
d) almacenar claves, incluyendo la forma de obtención de acceso a las claves por los
usuarios
e) cambiar o actualizar claves, incluyendo reglas para saber cuándo y cómo debería
hacerse;
f) tratar las claves comprometidas (afectadas);
g) revocar claves, incluyendo la forma de desactivarlas o retirarlas, por ejemplo, cuando
tienen problemas o el usuario deja la organización (en cuyo caso las claves. También se
archivan);
h) recuperar claves que se han perdido o corrompido como parte de la gestión de
Continuidad del negocio, por ejemplo, para recuperar la información cifrada.
i) archivar claves, por ejemplo, para información archivada o de respaldo;
j) destruir claves;
k) hacer seguimiento y auditorias de las actividades relacionadas con la gestión de las
claves.
Para reducir la probabilidad de comprometer las claves, se deberían definir fechas de
activación y desactivación para que sólo puedan utilizarse durante un periodo limitado. Este
debería depender de las circunstancias del uso de las medidas de control criptográficas y
del riesgo percibido. Además de la gestión segura de las claves privadas y secretas, se
debería considerar la autenticidad de las claves públicas. Este proceso se realiza
normalmente por una autoridad certificadora que debería ser una organización reconocida
y poseer controles y procedimientos adecuados para proporcionar el grado de fiabilidad
requerido. El contenido de los acuerdos de nivel de servicio o de los contratos con los
proveedores de servicios criptográficos (por ejemplo, una autoridad certificadora) debería
cubrir los aspectos de las obligaciones, fiabilidad de los servicios y tiempos de respuesta
para su suministro
Bibliografía
https://sites.google.com/a/istpargentina.edu.pe/diego-puentedelavega/12-3-controles-
criptograficos-1
https://www.pmg-ssi.com/2015/12/como-utilizar-la-criptografia-en-un-sistema-de-
gestion-de-seguridad-de-la-informacion/
https://www.pmg-ssi.com/2015/12/como-utilizar-la-criptografia-en-un-sistema-de-
gestion-de-seguridad-de-la-informacion/

Tarea 5

Cargado por

Copyright:

Formatos disponibles

Tarea 5

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Tarea 5

Cargado por

Copyright:

Formatos disponibles

9/8/2022

¿Cuándo utilizar los controles criptográficos?

También podría gustarte