[HACK] Doc sobre Seguridad Física

[Antonio Sanz]

Muy buenas....

He estado recopilando algo de info acerca del tema de seguridad física, y 
he confeccionado un documento base para la instalación/auditoría de la 
seguridad física de un sistema.

Está un poco en bruto, y seguramente deberá ser pulido, pero algo es algo...

Se sirve caliente tanto en texto plano como en PDF, y se aceptan propinas 
(o mejor todavía, comentarios...)

Yepas,

-----------------------------------------------------------------------------------------
Antonio Sanz Alcober   -  Responsable de Seguridad
APTICE     -    www.aptice.org
Email: asanz at aptice.org - Tlfno: 976 46 65 67
Clave PGP en: http://www.rediris.es/cert/servicios/keyserver/
PGP keyId: 0x0514286E
------------------------------------------------------------------------------------------



Consideraciones Generales sobre  Seguridad Física
----------------------------------------------------------------------------
Antonio Sanz
APTICE
asanz at aptice.org
Versión 1.0
04062001


Introducción

El presente documento pretende ser una base inicial que permita la 
definición e
implantación de los procedimientos pertinentes para garantizar la seguridad 
física de
un sistema.

Se realizará en primer lugar un análisis del sistema, que permita 
identificar de forma
eficaz y completa todos los elementos del sistema que deben ser protegidos. A
continuación, se realizará un listado de las posibles amenazas que pueden 
afectar al
sistema, junto con las medidas de seguridad necesarias para contrarrestarlas.

Para finalizar, se establecerán una serie de procedimientos destinados a 
implementar,
revisar y actualizar dichas medidas de seguridad.

Es necesario reseñar que este documento se encarga de las medidas físicas 
necesarias
para garantizar la seguridad de los elementos que conforman el sistema. La 
seguridad
lógica del sistema deberá tratarse en otros documentos.


Análisis de Riesgos

El análisis de riesgos se compone de tres fases bien diferenciadas:

?       Identificación de elementos del sistema a proteger.
?       Listado de posibles riesgos que puede correr el sistema.
?       Ponderación de los riesgos.

En la primera fase se plantea la realización de una identificación de todos 
los
elementos que conforman el sistema, de modo que sea posible obtener un listado
coherente y completo de lo que se pretende proteger.

Dicho listado debe incluir tanto elementos tangibles (equipos, software 
instalado,
conectividad de red) como intangibles (reputación empresarial, imagen pública,
etc...). Es recomendable la creación de una comisión interdisciplinar que 
abarque a
todos los sectores de la entidad para la elaboración de dicha lista.

La fase de listado de riesgos debe incluir todas las posibles ocurrencias 
que puedan
perjudicar el funcionamiento normal de un sistema. Es necesario realizar un 
listado lo
más completo posible, ya que el diseño de las medidas de seguridad irá 
orientado a la
eliminación o minimización de dichos riesgos.

Para finalizar el análisis de riesgos, es necesario realizar una valoración 
de la
importancia de los mismos. Dicho cálculo se realiza mediante la asignación 
de un
valor de importancia a cada uno de los recursos existentes y a las amenazas
identificadas. La multiplicación de ambos valores da un número por el cual 
pueden
ordenarse los riesgos (de esta forma tanto los recursos importantes como 
los riesgos
importantes ocupan los primeros puestos de la lista).

Definición de medidas de seguridad

Una vez identificados y cuantificados tanto los recursos a proteger como 
los riesgos
existentes, debe pasarse a la fase de diseño e implementación de las 
medidas de
seguridad. En dicha fase se propondrán estrategias diseñadas tanto a 
eliminar riesgos
predecibles como a minimizar posibles vulnerabilidades.

Dentro del campo de la seguridad física se suelen clasificar las amenazas 
en dos tipos:

?       Amenazas naturales.
?       Amenazas humanas.

Las amenazas naturales engloban todos aquellos fenómenos de índole natural que
pueden afectar a nuestro sistema, como pueden ser el fuego, la 
electricidad, etc...

Las amenazas humanas incluyen todos aquellos riesgos causados de forma 
directa por
seres humanos. Dichos riesgos pueden ser causados por personal ajeno a la 
empresa
(espías industriales, intrusos informáticos), o por el propio personal de 
la misma
(empleados descontentos, accidentes desafortunados).

Se definen a continuación una serie de recomendaciones iniciales destinadas a
establecer el esqueleto de un documento de seguridad física. Se plantean 
una serie de
riesgos comunes, así como posibles formas de eliminarlos y / o minimizarlos.


Riesgos Naturales

Fuego

El fuego puede destruir de forma rápida y efectiva todos los componentes
informáticos de un sistema. Tanto las llamas como el calor del incendio, 
así como el
humo generado puede dañar irreparablemente un ordenador.

Se recomienda la instalación de un sistema antiincendios automatizado que 
conste
tanto de detectores de humo como emisores de sustancias que permitan 
interrumpir el
fuego (el agua, aunque puede dañar los equipos, es mucho mejor que el Halon 
o el
CO2, que pueden llegar a provocar la muerte por asfixia).

Así mismo, como medida complementaria, se recomienda la instalación de 
extintores
de mano en todas las salas de importancia. Se deberá entrenar a todo el 
personal del
centro en su uso, y deberán ser examinados y recargados de forma periódica.


Agua

El agua puede constituir un elemento de peligro para un equipo encendido, 
dada la
posibilidad de cortocircuito.

Se recomienda la instalación de sistemas de drenaje adecuados, así como la 
revisión
de todas las cañerías existente en las cercanías. No deberán instalarse 
equipos en el
suelo de las salas, ni tampoco en sótanos y/o zonas propensas a inundarse 
en caso de
lluvia fuerte.

De la misma forma, se deberá prohibir o extremar el cuidado con respecto a la
introducción de bebidas en el área de seguridad.

Humo, polvo y polución

Estos factores, aunque no son de una peligrosidad elevada, pueden a largo 
plazo
degradar el rendimiento del hardware de un equipo, acortando su periodo de 
vida y
haciéndolo más propenso a fallos.

Se recomienda la instalación de filtros de aire, destinados a prevenir la 
entrada de
dichas sustancias. Dichos filtros deberán ser revisados y cambiados de forma
periódica. Sería recomendable a su vez aconsejar no fumar dentro del área 
restringida.

Sobrecargas de tensión y cortes en el suministro

Una sobrecarga provocada por un relámpago o simplemente por un pico de 
tensión de
la línea eléctrica puede dañar extensamente un equipo, poniéndolo con 
facilidad fuera
de circulación.

Se recomienda la revisión de la instalación eléctrica, y la instalación de 
filtros que
permitan asegurar la obtención de una corriente eléctrica estable. Un 
Sistema de
Alimentación Ininterrumpida o SAI / UPS puede ofrecernos esta posibilidad.

Un corte en el suministro no tiene por qué ser excesivamente dañino para 
los equipos,
pero dado que causa una interrupción del servicio, es un riesgo a tener en 
cuenta.

Se recomienda el uso de un Sistema de Alimentación Ininterrumpida o SAI / 
UPS que
permita al sistema sobrevivir a periodos cortos de suministro del fluido 
eléctrico, así
como realizar un apagado correcto de todos los equipos para evitar pérdida 
de datos.
En caso de sistemas críticos, se plantea la instalación de un generador de 
emergencia
que pueda ser activado en caso de fallo grave del suministro eléctrico.



Temperatura y Humedad

Los equipos informáticos suelen tener unas especificaciones de temperatura y
humedad de funcionamiento, y unas desviaciones elevadas de dichos valores
especificados pueden llevar a un funcionamiento inestable del mismo.

Se recomienda la instalación de un sistema de acondicionamiento de aire 
destinado a
cumplir las especificaciones de temperatura y humedad. Dicho sistema podrá ser
regulable por los usuarios del centro, a fin de garantizar una correctas 
condiciones de
trabajo.

Vibraciones y explosiones

Los elementos de carácter mecánico como vibraciones y explosiones pueden, a la
larga en el primer caso y de forma inmediata en el segundo, dañar los 
equipos del
sistema.

Se propone la sujeción de todos los equipos del sistema a soportes físicos 
de forma
que se impida la vibración del mismo como su posible caída.

Se recomienda una robusta construcción del centro, de forma que pueda 
soportar o
amortiguar en la medida de lo posible una explosión o un evento de 
características
similares (como podría ser un terremoto).


Riesgos humanos

En este apartado no existen una serie de riesgos definidos para los que 
establecer
contramedidas, por lo que se ofrecen una serie de recomendaciones ordenadas 
por
temas.

Control de Accesos

-       Se deberán delimitar diferentes zonas de acceso en función de los 
elementos a
proteger.
-       Se deberá crear un registro inicial en que se especifiquen todas 
las personas
presentes en el área, y los permisos de acceso de cada una de ellas.
-       Se deberá controlar el acceso a las distintas zonas mediante los 
sistemas
establecidos (tarjetas electrónicas de acceso con contraseña en pads).
-       Se deberán establecer procedimientos que permitan la identificación
permanente y continua de todos los usuarios que acceden a las zonas de
acceso. De la misma forma, se deberán establecer procedimientos que realicen
un registro de todas las personas que acceden a las zonas de acceso.
-       Se deberá realizar un proceso de correlación entre las entradas a 
las zonas de
acceso y las salidas consecuentes.

Visitas

-       Se deberá establecer un procedimiento de control y acceso de las 
visitas a las
instalaciones del centro. Se deberá considerar al personal de mantenimiento de
los sistemas como visita, y aplicarle el mismo tratamiento.
-       Se deberán autentificar todas las visitas de forma unívoca, y se 
deberán poder
identificar en todo momento de forma rápida y sencilla (pases de visita, por
ejemplo).
-       Todas las visitas deberán estar acompañadas en todo momento durante su
estancia en las zonas de seguridad.

Personal

-       Se deberá realizar una revisión completa del historial del personal 
que acceda
a cargos de importancia dentro del sistema: verificación de sus antiguos
trabajos, opinión de sus antiguos jefes...
-       Se deberán establecer los procedimientos que sean necesarios para 
poder
garantizar la confianza del nuevo personal (se recomienda una serie de test
psicotécnicos y una entrevista con personal de RR.HH. con experiencia en
psicología a fin de realizar un perfil lo más acertado del sujeto).
-       Todo el personal de la empresa deberá firmar un Acuerdo de 
Confidencialidad
y de No Competencia para evitar posibles fugas de información.
-       Se deberán generar procedimientos tanto de entrada como de salida de
personal de la empresa.

Empleo de equipos

-       Se deberán activar los salvapantallas de los equipos y protegerlos 
mediante
una contraseña.
-       Se deberán bloquear los medios de inserción / extracción física de 
información
de los que disponga el equipo (disqueteras, CDROM).
-       Se deberá establecer un arranque del sistema que tenga como primer 
medio
físico el disco duro del sistema.
-       Se deberá bloquear el acceso a la BIOS del equipo mediante una 
contraseña.
-       Se deberán establecer procedimientos de elección y gestión de 
contraseñas
robustas.
-       Se deberá establecer un procedimiento de "limpieza de escritorio" 
para todos
los empleados, de forma que se minimice la información que se deje al
descubierto.
-       Se deberán proveer los medios necesarios para realizar una 
destrucción de
información de forma segura y efectiva.
-       Se recomienda el bloqueo físico de las tomas de red en desuso, así 
como de la
unión física de las tomas de red empleadas con los equipos.



Medidas de seguridad

-       Se deberán instalar puertas y cerraduras de seguridad en todas las
dependencias del centro.
-       Se instalarán ventanas de seguridad en donde sea posible (ventanas 
de alta
resistencia).
-       Se instalarán alarmas en puertas y ventanas, coordinadas por un 
sistema de
seguridad que deberá ser conectado y desconectado por el personal de
seguridad establecido.
-       En la medida de lo posible, se instalarán sensores de infrarrojos 
en las zonas
de máxima seguridad, que permitan detectar posibles intrusiones.
-       Se instalarán cámaras de seguridad infrarrojas que permitan obtener 
una visión
inmediata del entorno de seguridad. Dichas cámaras funcionarán en circuito
cerrado y/o con conexión a una central de seguridad. Deberán guardarse
copias de las cintas durante al menos tres meses.
-       Se recomienda la instalación de cajas fuertes y/o ignífugas para 
proteger la
información más sensible (copias de seguridad, hardware criptográfico).
-       Se recomienda la contratación de personal de seguridad experto para 
realizar
las tareas de control de accesos y vigilancia en horario no laboral del cento.

Construcción

-       Se recomienda la construcción del área de máxima seguridad con 
paredes de
materiales resistentes, y de un grosor tal que impida y / o dificulte la
penetración con herramientas no industriales.
-       Se recomienda la eliminación de ventanas y cristales en el área de 
máxima
seguridad.
-       Se recomienda la eliminación de huecos en los falsos techos / 
falsos suelos en
las zonas de máxima seguridad.
-       Se plantea la construcción de un sistema de protección contra ataques
TEMPEST de emisiones electromagnéticas, únicamente para las zonas de
máxima seguridad.
-       Se prohibirá el uso de materiales inflamables en las zonas de máxima
seguridad.
-       Se deberán aislar y securizar todas las conducciones de cableado.
-       Se realizará una instalación eléctrica que permita garantizar una 
continuidad
del servicio (estática, tomas de tierra, potencia proporcionada)
-       Se señalizará de forma clara todo el cableado existente.
-       Se situará la zona de máxima seguridad, en la medida de lo posible, 
en el
centro del edificio.
-       Se revisarán los sistemas de ventilación de forma que se impida el 
acceso a
través de ellos a zonas de alta seguridad.



Planes y Educación

-       Se diseñará un Plan de Emergencia que permita afrontar todos los 
riesgos
posibles, tanto para los equipos como para el personal de la empresa.
-       Se realizará un programa de educación para todo el personal, de 
forma que se
conozcan, comprendan y acepten tanto el Plan de Emergencia como las
medidas de seguridad establecidas.

Backup

-       Se deberán identificar todos los backups realizados de forma clara 
y sencilla.
-       Se deberán almacenar en un sitio seguro.
-       Se deberán establecer unos procedimientos de transporte seguro.
-       Se deberá establecer un estricto control de accesos que regule las 
personas que
pueden acceder y proceder a la retirada de los backups.



Revisión y actualización

La definición e implementación de las medidas de seguridad debe ir acompañada
obligatoriamente de un procedimiento de auditoría que permita identificar 
posibles
fallos en los procedimientos establecidos.

De la misma forma, será necesario definir un procedimiento de actualización 
de las
medidas de seguridad, con el fin de conseguir un documento de seguridad 
completo y
actualizado.


-------------- next part --------------
A non-text attachment was scrubbed...
Name: seg_fisica.zip
Type: application/octet-stream
Size: 15896 bytes
Desc: not available
URL: <https://mailman.jcea.es/pipermail/hacking/attachments/20010606/dfc6ddf1/attachment.obj>