UN POCO SOBRE LA SEGURIDAD DE PERSONAS


El Estado español según dicta la Constitución de 1978, ejerce a través de las Fuerzas y Cuerpos de Seguridad la protección de la vida, la integridad física y moral de sus ciudadanos. Así la propia Ley 2/86 en su art. 11. 1. b, establece: “Auxiliar y proteger a las personas y asegurar la custodia de sus bienes”.
Además les atribuye como funciones:
 La protección de personas y bienes que se encuentren en peligro por cualquier causa.
 Vigilar y proteger los edificios e instalaciones públicos que, por su interés lo requieran.
 Velar por la protección de altas personalidades.

Se desprende de todo lo anterior que la “protección se configura como un sistema de seguridad organizado para custodiar a una persona, un lugar o un objeto determinado, que permite controlar lo que suceda en una zona, y reaccionar en su caso, adecuadamente”.
Por todo ello un director de seguridad, no sólo debe saber planificar el sistema de seguridad de un edificio, con todo lo que ello conlleva, sino que además debe conocer en profundidad las características de una Protección Personal desde los interiores de ésta.
Un Director de Seguridad deberá conocer el funcionamiento y la operativa del servicio de escolta de su protegido. No obstante será también su responsabilidad. Por lo tanto aún pudiendo no ser propiamente un escolta, si es conveniente que disponga de los conocimientos básicos de éstos.
El plan de protección
Toda intención de prestar seguridad a un VIP determinado debe pasar inexorablemente por la realización de un estudio completo acerca de la viabilidad de imponer un equipo de protección, la adecuación de las medidas a aplicar y la perfecta sincronización de éstas con los medios requeridos, tal que se puedan ofrecer las garantías suficientes sobre la efectividad de su implantación.
Las actuaciones llevadas a cabo con ese fin pero de forma descontrolada o sin el conocimiento oportuno, incluso al margen de las normas legales existentes, solo conducirán al fracaso de tal protección, ya fuere por exceso o por defecto de dichas medidas.
Lógicamente se impone preparar un Plan de Protección, como conjunto de documentos en el que, a partir de describir el objeto o sujeto de protección, se vaya incluyendo la correspondiente documentación elaborada: riguroso análisis de riesgos y estudio de vulnerabilidades, cuyo correcto resultado dará la necesidad o no de protección , el tipo y los medios para su desarrollo y las medidas organizativas necesarias en las que se definan desde la depuración de responsabilidades, hasta las técnicas y tácticas a ejecutar en cada momento, la evaluación del servicio, y las consecuentes medidas de inversión necesarias para alcanzar los objetivos marcados así como permitir su actualización permanente.
La normativa de seguridad privada
La actividad de protección de personas podrá ser desarrollada únicamente por escoltas privados integrados en empresas de seguridad, inscritas para el ejercicio de dicha actividad, y que habrán de obtener previamente autorización especifica para contratación de servicios de protección.
Solicitud
 Los servicios de protección deberán ser solicitados, directamente por la persona interesada o a través de la empresa de seguridad que vaya a prestarlos, ya sean en favor del propio interesado o de las personas que tengan bajo su guarda o custodia o de cuya seguridad fuera responsable.
 El procedimiento se tramitará con carácter urgente, y en el mismo habrá de obtenerse el informe de la Dirección General de la Policía y de la Guardia Civil, cuando sea procedente, teniendo en cuenta los lugares en que haya de realizarse principalmente la actividad.
 En la solicitud, que se dirigirá al Director General de la Policía y de la Guardia Civil o, en su caso, al órgano correspondiente de la Comunidad Autónoma competente, se harán constar los riesgos concretos de las personas a proteger, valorando su gravedad y probabilidad y acompañando cuantos datos o informes se consideren pertinentes para justificar la necesidad del servicio. Asimismo, cuando la autorización se solicite personalmente, se expresará en la solicitud la empresa de seguridad a la que se pretenda encargar el servicio.
 La Dirección General de la Policía y de la Guardia Civil o, en su caso, el órgano correspondiente de la Comunidad Autónoma competente, considerando la naturaleza del riesgo, su gravedad y probabilidad, determinará si es necesaria la prestación del servicio de protección o si, por el contrario, es suficiente la adopción de medidas de autoprotección. Los servicios de protección personal habrán de ser autorizados, expresa e individualizadamente y con carácter excepcional, cuando, a la vista de las circunstancias expresadas resulten imprescindibles, y no puedan cubrirse por otros medios.
La resolución en que se acuerde la concesión o denegación de la autorización, que habrá de ser motivada, determinará el plazo de vigencia de la misma, podrá incorporar condicionamientos sobre su forma de prestación, concretará si ha de ser prestado por uno o más escoltas privados con las armas correspondientes, y se comunicará al interesado y a la empresa de seguridad.

Escalones y niveles de seguridad
En la protección de personas, en función de los riesgos a los que se expone el VIP, es necesario establecer con anterioridad un Dispositivo de Protección con unos Niveles de Seguridad.
Se establecen cinco niveles de seguridad:
 Primer nivel especial.
 Primer nivel.
 Segundo nivel especial.
 Segundo nivel.
 Tercer nivel.

Cada uno de estos niveles de seguridad tiene una composición de cápsula distinta, de mayor o menor complejidad, cuente o no con apoyos de avanzadas y/o contra vigilancias.
Evaluación de dispositivos
El Director de Seguridad debe conocer que cada nivel de seguridad ha de ser previamente evaluado en función de los movimientos cotidianos del VIP.
El Dispositivo que se establezca en su entorno debe abarcar:

 Domicilio personal.
 Lugar de trabajo habitual.
 Itinerarios utilizados habitualmente, y también los distintos alternativos que puedan ser utilizados.
 Horarios de actividad, descanso, ocio, etc.
 Modo usual en el que se realizan los desplazamientos.

Las reglas de oro para un Director de Seguridad a la hora de establecer un dispositivo de protección de personalidades son:
 Planificación previa.
 Previsión de posibilidades.
 Prevención de peligros.
 Prevención de problemas.
 Prevención de percances.
 Protección total.

Coordinación con el departamento de seguridad
La coordinación de los diferentes dispositivos de seguridad que realicen los escoltas dentro de un servicio de protección personal, pasa de manera inequívoca por la dirección, control y supervisión de un Director de Seguridad, creando un Departamento de Seguridad.
El Director de Seguridad establecerá una jerarquía de responsabilidades, acompañándose en su dirección por un:
 Jefe de Dispositivo.
 Jefe o Jefes de Cápsula que sean necesarios.

Evacuaciones
El Director de Seguridad debe organizar ante un intento de agresión a un VIP protegido por su departamento, que el equipo de protección cumpla con una de sus funciones primordiales:
“LA COBERTURA Y EVACUACIÓN DEL PROTEGIDO”
Las líneas generales que rigen la cobertura y evacuación son:

 El Escolta que detecta el intento de agresión procede a neutralizar al agresor, pudiendo ser auxiliado en esta función por otros Escoltas del segundo círculo de protección, si éste existiese.
 Al mismo tiempo que el Escolta procede a neutralizar al agresor, dará la voz de alarma al resto del equipo de protección, indicándoles tipo de agresión y dirección de la misma. Ejemplo “cuchillo a las 9”, etc.

 Ante esta situación el equipo protector procederá de forma instantánea a la Cobertura y Evacuación del VIP, dirigiéndolo hacia el itinerario previsto con anterioridad.
 El Jefe de Cápsula será el encargado de cubrir y evacuar a la personalidad, así como de elegir el itinerario más adecuado en esos momentos.

Acceso de personas y objetos
El control de accesos es una de las misiones más importantes dentro de la protección de personas, en lugares fijos en la seguridad de un edificio o instalación.
En él se trata de evitar la entrada de personas, objetos o mercancías que puedan poner en peligro la integridad física de las personas que habitan en un inmueble, deteriorar o destruir el propio inmueble protegido.
Control de personas
 Identidad de los empleados del inmueble.
 Verificación de acceso de las personas que accedan al edificio que no sean empleados de la empresa.
 Control de personas de servicio en el inmueble: conserjes, personal de mantenimiento, limpieza, etc. Constatar sus horarios y órdenes de trabajo.
 Inspección de todos los pisos.
 Confirmación de las autorizaciones de todo el personal que se encuentre realizando obras en el edificio o aledaños.

Control de vehículos
 Placas de matrícula que coincidan con el modelo.
 Forma y situación de adornos, pegatinas, adhesivos, etc., que puedan ocultar bocas de fuego.
 Distribución anómala de la carga del vehículo.
 Dimensiones y formas de las antenas, así como antenas en el interior.
 Que el conductor del vehículo sea el habitual.

Control de correspondencia y paquetería
Si un paquete o carta ofreciera sospechas de que pudiera contener alguna materia o artefacto explosivo, se dará conocimiento inmediato al Centro de Control, quién pondrá la incidencia en conocimiento de los especialistas de las Fuerzas y Cuerpos de Seguridad.
Como medidas preventivas se adoptarán las siguientes:
 No tocar nada.
 No abrirlo.
 No doblar, mojar o presionar.
 Averiguar el Remitente, forma y medio de recepción.
 Acordonar la zona de riesgo y proceder a la evacuación o desalojo del lugar de forma total o parcial, según el tamaño del paquete, y a criterio del Director de Seguridad.

Actuación básica de protección
Ante la protección de un VIP en lugares fijos o “Protección Estática”, se debe adoptar la siguiente mecánica de actuación:
 Conocer en profundidad los tipos o posibles riesgos y/o amenazas a los que están sometidos la personalidad y el edificio.
 Prestar especial atención a las revisiones diarias de todo el edificio y sus alrededores.
 Inspeccionar vehículos de los alrededores del inmueble
 Verificar el tráfico rodado en los alrededores del edificio, y los vehículos aparcados, en doble fina, mal estacionados, etc.
 Especial atención a obras y reparaciones en inmediaciones del edificio.
 Corroborar el buen estado y uso de los medios de comunicación de forma periódica.
 Comprobar el buen estado y uso del armamento.
 Alejarse de los hábitos y rutinas diarias.
 Vigilancia, observación y alerta perpetua, sin actitudes paranoicas.
 En cualquier situación, no dar jamás nada por sentado.
 Los relevos y rondas, siempre de forma aleatoria.


Pinceladas técnicas sobre señalización ferroviaria: ERTMS nivel 1 y ASFA

Tras el fatídico accidente de Santiago de Compostela, queremos mostrar ciertas pinceladas de los sistemas de señalización instalados en la línea de alta velocidad Ourense Santiago como en la línea convencional de llegada a Santiago. Hablamos de dos sistemas similares de protección automática del tren ( ATP ):
§  ERTMS n-1
§  ASFA
Los sistemas de ATP se desarrollan inicialmente como unos equipos complementarios a la señalización lateral para mitigar la amenaza del rebase de la señal en rojo.
La misión principal era evitar el rebase de una señal en rojo. Primeramente se actúa en en forma de aviso (supervisión), seguido de la aplicación del freno de emergencia (control) si el maquinista no reconocía el aviso.
El ASFA, dentro de las limitaciones propias de todo sistema puntual, se ha ido adaptando a la evolución tecnológica de RENFE. Así se desarrolló la aplicación ASFA 200, para cubrir las necesidades en las líneas de 200km/h, el ASFA AV que ha servido como sistema de respaldo en las líneas de Alta Velocidad, el ASFA STM como adaptación al sistema ERTMS. Últimamente ADIF /RENFE han especificado el ASFA Digital con la idea de cubrir los requerimientos de seguridad en aquellas líneas en las que no se implemente el ERTMS o durante el periodo en el que aún no se haya instalado el ERTMS o se prevea la circulación de trenes sin ETCS.
Los sistemas de ATP se hacen mas complejos en respuesta a la necesidad de mitigar nuevas amenazas que aparecen como consecuencia de la demanda de mayor tráfico; mayor número de trenes y mayor velocidad. Es necesario informar del paso por las señales laterales de precaución. Las instrucciones al maquinista se hacen mas completas, exigiéndose normalmente su reconocimiento.
Las mayores velocidades y el riesgo de paso por curvas y desviadas a velocidades excesivas requieren de los sistemas de ATP una supervisión / control que evite la circulación a velocidades superiores a las permitidas. Por el mismo motivo la aproximación a las señales de parada requieren una supervisión del proceso de reducción de velocidad. Es decir los sistemas empiezan a ser mas complejos con mayores prestaciones.
Queremos en este post mostrar los detalles técnicos básicos sobre el tan citado hoy mismo “ERTMS n-1″ y ASFA
El nivel 1 del sistema europeo ERTMS es un sistemas de operación basado en el envío de información desde la vía al tren de forma discontinua.
Este sistema es heredero de la gran mayoría de los sistemas ATP actualmente instalados en Europa.
En el nivel 1 la información se transmite desde la vía del tren a través de grupos de balizas situadas a lo largo del recorrido.
Se garantiza la interoperabilidad para que cualquier tren sea capaz de leer la baliza incluso si la baliza o el fabricante del lector embarcados son de diferente marca.
El principio de captación se basa en un elemento pasivo y es el equipo de tren el que a través de una señal emitida por una antena, excita la baliza la cual envía la información oportuna.
El en el nivel 1 el equipo ERTMS de a bordo del tren recibe del equipo de vía ERTMS información para permitir su movimiento a lo largo del recorrido. La información se recibe en ciertos puntos de la vía ( en donde están situadas las balizas ) y es válida hasta que el tren llega a una nueva zona de balizas con información.
La información enviada por las balizas puede ser información fija o variable. La información de las balizas está relacionada con la situación del trafico ferroviario ( autoridad de movimiento, restricción de velocidad al paso por agujas, etc… )
Las balizas variables están conectadas a la red mediante los equipos denominados LEU’s.
En el nivel 1 se emplea la información previa con dos objetivos:
a) Adelantar la información de señalización menos restrictiva para evitar la parada del tren.
b) Adelantar la información más restrictiva para, en la medida posible, frenar el tren en el menor tiempo posible.
Esta información se puede conseguir mediante la eurobaliza o el eurolazo. En este caso la primera.
Con el sistema ERTMS n-1 ya no es necesario que el maquinista conozca la señalización del tramo en el que está, dado que el equipo asegurará que se cumple, aunque si se usa la baliza previa el maquinista tendrá que mirar las señales en el caso que aproxime a una parada.
Para entender el sistema de funcionamiento del propio ERTMS, podemos analizar como funciona el ASFA básico y explicar un poco como es, ya que funcionalmente son muy similares.
El sistema de control de velocidad de respaldo al ERTMS L-1 y el principal en la red convencional y de respaldo de las LAV, es el denominado ASFA:


 A
El sistema SFA es el ATP que se desarrolló en España para mejorar la seguridad de la circulación de trenes, antes de la llegada del ERTMS.
El ASFA es el sistema de Anuncio de Señales y Frenado Automático, tipo ATP puntual, instalado en toda la Red Nacional desde el año 1972.
El sistema consta de dos partes diferenciadas:
§  Los equipos de vía, balizas, que, teniendo en cuenta las condiciones impuestas por las instalaciones de señalización y las características de la línea, transmiten información en condiciones de ser captadas por los vehículos.
§  Los equipos de a bordo de los vehículos, que captan y procesan la información procedente de los equipos de vía y la transforman en indicaciones y órdenes al maquinista.
Como se ha indicado el equipo en vía está formado principalmente por las balizas y las unidades de conexión entre las balizas y las señales.
Las balizas están instaladas a pie de señal, baliza de señal, y a una distancia de 300 m. aproximadamente en horizontal en las líneas convencionales, balizas previas. Las balizas al sintonizarse con la bobina del captador situado en la locomotora y del que reciben la energía, produce una oscilación eléctrica a una frecuencia relacionada con el aspecto de las señales.
Gráficamente para una parada por presencia de tren:
El sistema ASFA básico realiza las siguientes funciones:
§  Informa al maquinista del aspecto que presentan las señales. Esta información se realiza solamente en determinados puntos de la vía: al pie de cada señal (baliza de señal)y a unos 300 m. antes de la misma (baliza previa).
§  Si la indicación presentada por la señal es la de vía libre, aspecto verde, el sistema sólo informa y no exige ninguna actuación del maquinista.
§  Si la indicación de la señal es la correspondiente al anuncio de parada o anuncio de precaución, aspecto amarilla o verde amarillo, el sistema, además de informar, exige que el maquinista se dé por enterado, actuando sobre un pulsador instalado a tal fin; en caso de no hacerlo dentro de un tiempo establecido, el equipo produce el frenado automático de emergencia.
§  Si la indicación presentada por la señal es la de parada o señal en rojo, en el punto de transmisión situado 300 m. antes de la señal, se comprueba si la velocidad del vehículo es igual o inferior a una preestablecida en función del tipo de tren, introducido por el maquinista al inicio de su marcha. Si la velocidad es superior se produce el frenado automático de emergencia. Si se rebasa la señal, el sistema produce también el frenado automático de emergencia.
§  Este protocolo de actuación es aproximadamente válido para una reducción de velocidad, sin señales de por medio. Es decir que las balizas previas indican la nueva velocidad de circulación avanzada.
Tanto las indicaciones presentadas por las señales, como las actuaciones del maquinista relacionadas con el equipo, quedan registradas en el tacógrafo del vehículo.
El maquinista dispone de un pulsador de rebase que le permite rebasar una señal prohibitiva cuando por avería o cualquier otra circunstancia, le sea autorizado el rebase, sin que se dispare el freno de emergencia.
Este sistema básico aquí descrito es válido tanto como para parada como para reducción de velocidad en sucesivas balizas dispuestas en la vía.

FUENTE DE  BLOG GEOTREN

COLABORACIÓN NUEVOS TRABAJO DE SEGURIDAD PARA WWW.PRLYSEGURIDAD.COM


Buenas compañeros aquí hoy comparto dos trabajos excelentes con vosotros, la colaboración la aporta nuestro compañeros Juan Carlos Villadoniga Gallego titulado universitario en Dirección de Seguridad.

Pone a nuestra disposición el ejemplo de  un Plan de Inteligencia de la empresa y una simulación  de un PLOBT TELEFÓNICO en una empresa que gestiona cursos universitarios, los trabajos quedaran incluidos en la biblioteca de prlyseguridad.com para uso y disfrute de los usuarios del bloc.


PLAN DE INTELIGENCIA EN LA EMPRESA:

https://docs.google.com/viewer?a=v&pid=sites&srcid=ZGVmYXVsdGRvbWFpbnxwcmx5c2VndXJpZGFkfGd4OjczZDI1NTIyZjY1YzY3MjU


EJEMPLO PLOBT TELEFÓNICO

 https://docs.google.com/viewer?a=v&pid=sites&srcid=ZGVmYXVsdGRvbWFpbnxwcmx5c2VndXJpZGFkfGd4OjVmY2FkZjExNWYyMzE4M2E

Un saludo

Francisco Gonzalez

Seguridad lógica


Dentro de la seguridad informática, la seguridad lógica hace referencia a la seguridad en el uso de software y los sistemas, la protección de los datos, procesos y programas, así como la del acceso ordenado y autorizado de los usuarios a la información.


La “seguridad lógica” involucra todas aquellas medidas establecidas por la administración -usuarios y administradores de recursos de tecnología de información- para minimizar los riesgos de seguridad asociados con sus operaciones cotidianas llevadas a cabo utilizando la tecnología de información.
Con la seguridad lógica se persiguen los siguientes objetivos:
 Restringir el acceso a los programas y archivos.
 Los operadores debe trabajar sin supervisión minuciosa y no podrán modificar ni programas archivos que no correspondan.
 Asegurar que se estén utilizando los datos, archivos y programas correctos en y por el procedimiento correcto.
 Asegurar que la información transmitida sea recibida sólo por el destinatario al cual sea dirigida y por ningún otro.
 Asegurar que la información que el destinatario ha recibido sea la misma que ha sido transmitida.
 Se debe disponer de sistemas alternativos de transmisión de información entre diferentes puntos.

Amenazas
Amenazas del sistema
Son las amenazas que afectan principalmente al hardware, al software y a los datos. Estas se deben a fenómenos de:
 Interrupción.
 Intercepción.
 Modificación.
 Generación.

Amenazas de interrupción
 Se daña, pierde o deja de funcionar un punto del sistema.
 Detección inmediata.

Ejemplos: destrucción del hardware, borrado de programas, datos, fallos en el sistema operativo, etc.
Amenazas de interceptación

 Acceso a la información por parte de personas no autorizadas. Uso de privilegios no adquiridos.
 Detección difícil, no deja huellas.

Ejemplos: copias ilícitas de programas, escucha en línea de datos.
Amenazas de modificación
 Acceso no autorizado que cambia el entorno para su beneficio.
 Detección difícil según circunstancias.

Ejemplo: modificación de base de datos, modificación de elementos del hardware.
Amenazas de generación
 Creación de nuevos objetos dentro del sistema.
 Detección difícil. Delitos de falsificación.

Ejemplos: añadir transacciones en red, añadir registros en base de datos.
Amenazas humanas
Robo y fraude
Los sistemas de TI pueden ser usados para estas acciones de manera tradicional o usando nuevos métodos, por ejemplo, un individuo puede usar el ordenador para sustraer pequeñas cantidades de dinero de un gran número de cuentas financieras bajo la suposición de que pequeñas diferencias de saldo no serán investigadas, los sistemas financieros no son los únicos que están bajo riesgo, también lo están los sistemas que controlan el acceso a recursos de diversos tipos, como: sistemas de inventario, sistemas de calificaciones, de control de llamadas telefónicas, etc.
Los robos y fraudes usando sistemas de TI pueden ser cometidos por personas internas o externas a las organizaciones, estadísticamente los responsables de la mayoría de los fraudes son personas internas a la organización.
Sabotaje
Una gran parte de las empresas que han intentado implementar programas de seguridad de alto nivel, han encontrado que la protección contra esta amenaza es uno de los retos más duros, el saboteador puede ser un empleado o un sujeto ajeno a la empresa y sus motivos pueden ser de lo más variados.
Al estar más familiarizados con las aplicaciones, los empleados saben que acciones causarían más daño, por otra parte el downsizing ha generado grupos de personas con conocimientos sobre diversas organizaciones y con conocimiento de acceso a sus sistemas. Entre las acciones de sabotaje más comunes tenemos:
 Destrucción de hardware.
 “Bombas lógicas” para destrucción de programas y/o datos.
 Ingreso erróneo de datos.
 Exposición de medios magnéticos de almacenamiento de información a imanes.
 Introducción de suciedad, partículas de metal o gasolina por los conductos de aire acondicionado.
 Corte de las líneas de comunicaciones y/o eléctricas.

Espionaje
Se refiere a la acción de recolectar información propiedad de una compañía para ayudar a otra compañía. Desde que la información es procesada y almacenada en ordenadores, la seguridad informática puede ayudar a proteger este recurso, sin embargo, es muy poco lo que se puede hacer para evitar que un empleado con autorización de acceso a información pueda entregarla o venderla.
Hackers y código malicioso
El término hacker, se refiere a los atacantes que se introducen en un sistema sin autorización y pueden ser internos o externos a la organización, existen diferencias entre estos atacantes, el hacker tiene por finalidad introducirse en el sistema y hacer notar que lo logró, el que además de introducirse sin autorización destruye sistemas e información en el “cracker”, y los que hacen uso de sus conocimientos de hardware, software y telefonía para no pagar las llamadas que hacen son los “phreakers”.
El código malicioso se refiere a los virus, Works, caballos de Troya, bombas lógicas y otros ejemplos de software no deseados que son introducidos en los sistemas.
Protección de la información
Los tres principios de la seguridad informática son:
Existirá una diversidad de frentes desde los que puede producirse un ataque. Esto dificulta el análisis de riesgos porque el delincuente aplica la filosofía del punto más débil de este principio.
Se habla por tanto, de la caducidad del sistema de protección: tiempo en el que debe mantenerse la confidencialidad o secreto del dato. Esto nos levará a la fortaleza del sistema de cifra.








 Que funcionen en el momento oportuno.
 Que lo hagan optimizando los recursos del sistema.
 Que pasen desapercibidas para el usuario.

Ningún sistema de control resulta efectivo hasta que es utilizado al surgir la necesidad de aplicarlo.
Políticas de seguridad
Controles de acceso
Los controles de acceso pueden implementarse a nivel de Sistema operativo, de sistema de información, en bases de datos, en un paquete específico de seguridad o en cualquier otro utilitario. Estos controles constituyen una ayuda importante para proteger al sistema operativo de la red, a los sistemas de información y software adicional; de que puedan ser utilizadas/os o modificadas/os sin autorización; también para mantener la integridad de la información (restringiendo la cantidad de usuarios y procesos con autorización de acceso) y para resguardar la información confidencial de accesos no autorizados.
Identificación y autentificación
Se constituye en la primera línea de defensa para la mayoría de los sistemas computarizados, al prevenir el ingreso de personas no autorizadas y es la base para casi todos los controles de acceso, además permite efectuar un seguimiento de las actividades de los usuarios. Identificación es cuando el usuario se da a conocer en el sistema; y Autentificación es la verificación que realiza el sistema de la identificación.
Roles
El acceso a la información puede ser controlado también, considerando la función o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles serían los siguientes: líder de proyecto, programador, operador, jefe de un área de usuaria, etc. Los derechos de acceso se agrupan de acuerdo con un rol determinando y el uso de los recursos se restringe a las personas autorizadas a asumir dicho rol, cambiar de rol implicaría salir del sistema y reingresar. El uso de roles es una manera bastante efectiva de implementar el control de accesos, siempre que el proceso de definición de roles esté basado en un profundo análisis de cómo la organización opera. Es importante aclarar que el uso de roles no es lo mismo que el uso compartido de cuentas.
Transacciones
Otro planteamiento para implementar controles de acceso en una organización son las transacciones, sería del modo siguiente: el ordenador conoce de antemano el número de cuenta que proporciona a un usuario el acceso a la cuenta respectiva, este acceso tiene la duración de una transacción, cuando esta es completada entonces la autorización de acceso termina, esto significa que el usuario no tiene más oportunidad de operar.
Limitaciones a los servicios
Las limitaciones a los servicios son controles que se refieren a las restricciones que dependen de parámetros propios de la utilización de la aplicación o que han sido preestablecidos por el administrador del sistema. Un ejemplo de este tipo de control es: cuando en un cajero automático establece un límite para la cantidad de dinero que se puede transferir de una cuenta a otra, y también para los retiros. Otro ejemplo, podría ser cuando los usuarios de una red, tienen permitido intercambiar e-mails entre sí, perno no tiene permitido conectarse para intercambiar e-mails con usuarios de redes externas.
Modalidad de acceso
Adicionalmente a considerar cuando un acceso puede permitirse, se debe tener en cuenta también que tipo de acceso o modo de acceso se permitirá. El concepto de modo de acceso es fundamental para el control respectivo, los modos de acceso que pueden ser usados son: Lectura, Escritura, Ejecución, Borrado. Además existen otras modalidades de acceso especiales, que generalmente se incluyen en los sistemas de aplicación: Creación, Búsqueda.
Estos criterios puede ser usados de manera conjunta con otros, por ejemplo, una organización puede proporcionar a un grupo de usuarios acceso de Escritura en una aplicación en cualquier momento dentro del horario de oficina, y acceso sólo de Lectura fuera de él.
Ubicación y horario
El acceso a determinados recursos del sistema puede estar basado en la ubicación física o lógica de los datos o personas. En cuanto al horario, el uso de parámetros como horario de oficina o día de la semana son comunes cuando se implementa este tipo de controles, que permiten limitar el acceso de los usuarios a determinadas horas.
Control de acceso interno
Los controles de acceso interno determinan lo que un usuario (o grupo de usuarios) puede o no hacer con los recursos del sistema. Se detallarán cinco métodos de control de acceso interno:
Palabras clave (Passwords): las palabras clave o passwords, están comúnmente asociadas con la autentificación del usuario, experto también son usadas para proteger datos, aplicaciones e incluso PC´s. Por ejemplo, una aplicación de contabilidad puede solicitar al usuario un password, en caso de que aquel desee acceder a cierta información financiera. Los controles implementados a través de la utilización de palabras clave resultan de muy bajo costo e incluyen una gran variedad de aplicaciones.
Encriptación: la información encriptada solamente puede ser desencriptada por quienes posean la clave apropiada.
Listas de control de accesos: estas listas se refieren a un registro de:
o Usuarios (incluye grupos de usuarios, ordenadores, procesos), a quienes se les ha proporcionado autorización para usar un recursos del sistema.
o Los tipos de acceso que han sido proporcionados.

Hay una gran flexibilidad para el manejo de estas listas, pueden definir también a que usuario o grupos de usuarios se les niega específicamente el acceso a un recurso. Se pueden implementar Listas de Control de Accesos Elementales y Avanzadas.
Límites sobre la interfase de usuario: comúnmente utilizados en conjunto con listas de control de accesos, estos límites restringen a los usuarios a funciones específicas. Pueden ser de tres tipos:
o Menús.
o Vistas sobre la base de datos.
o Límites físicos sobre la interfase de usuario.

Los límites sobre la interfase del usuario pueden proporcionar una forma de control de acceso muy parecida a la forma en que la organización opera, es decir, el Administrador del Sistema restringe al usuario a ciertos comandos, generalmente a través de un menú.
Las vistas sobre la base de datos, limitan el acceso de los usuarios a los datos contenidos en la BD, de tal forma que los usuarios dispongan sólo de aquellos que puedan para cumplir con sus funciones en la organización.
 Etiquetas de seguridad: son denominaciones que se dan a los recursos (puede ser un archivo), las etiquetas pueden utilizarse para varios propósitos, por ejemplo: control de accesos, especificación de pruebas de protección, etc. En muchas implementaciones, una vez que la denominación ha sido hecha, ya no puede ser cambiada, excepto, quizás, bajo cuidadosas condiciones de control, que están sujetas a auditoría. Las etiquetas de seguridad son una forma muy efectiva de control de acceso, pero a veces resultan inflexibles y pueden ser costosas de administrar, y estos factores pueden desanimar en su uso.

Control de acceso externo
Los controles de acceso externo son una protección contra la interacción de nuestro sistema con los sistemas, servicios y gente externa a la organización.
Dispositivos de control de puertos: estos dispositivos autorizan el acceso a un puerto determinado del ordenador host y pueden estar físicamente separados o incluidos en otro dispositivo de comunicaciones, como por ejemplo un módem. Los dispositivos de control de puertos actúan de manera previa e independiente de las funciones de control de acceso propias del ordenador y comúnmente son usados en comunicaciones seriales.
Firewalls o puertas de seguridad: los firewalls permiten bloquear o filtrar el acceso entre dos redes, generalmente una privada y otra externa (por ejemplo Internet), entendiendo como red privada una “separada” de otras. Las puertas de seguridad permiten que los usuarios internos se conecten a la red exterior al mismo tiempo que previenen la intromisión de atacantes o virus a los sistemas de la organización. Adicionalmente a estos beneficios los firewalls reducen la carga del sistema en proceso de seguridad y facilitan la centralización de servicios.
Autentificación basada en el host: proporciona el acceso según la identificación del Host en el que se origina el requerimiento de acceso, en lugar de hacerlo según la identificación del usuario solicitante.


Wikipedia

Resultados de la búsqueda