SEGURIDAD FÍSICA

Es muy importante ser consciente que por más que nuestra empresa sea la más segura desde el punto de vista de ataques externos, Hackers, virus, etc. (conceptos luego tratados); la seguridad de la misma será nula si no se ha previsto como combatir un incendio.

La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático. Si bien algunos de los aspectos tratados a continuación se prevén, otros, como la detección de un atacante interno a la empresa que intenta a acceder físicamente a una sala de operaciones de la misma, no.

Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de la sala, que intentar acceder vía lógica a la misma.

Así, la Seguridad Física consiste en la "aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial"(1). Se refiere a los controles y mecanismos de seguridad dentro y alrededor del Centro de Cómputo así como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamiento de datos.

Tipos de Desastres

No será la primera vez que se mencione en este trabajo, que cada sistema es único y por lo tanto la política de seguridad a implementar no será única. Este concepto vale, también, para el edificio en el que nos encontramos. Es por ello que siempre se recomendarán pautas de aplicación general y no procedimientos específicos. Para ejemplificar esto: valdrá de poco tener en cuenta aquí, en Entre Ríos, técnicas de seguridad ante terremotos; pero sí será de máxima utilidad en Los Angeles, EE.UU.

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el centro.

Las principales amenazas que se prevén en la seguridad física son:

1. Desastres naturales, incendios accidentales tormentas e inundaciones.
2. Amenazas ocasionadas por el hombre.
3. Disturbios, sabotajes internos y externos deliberados.

No hace falta recurrir a películas de espionaje para sacar ideas de cómo obtener la máxima seguridad en un sistema informático, además de que la solución sería extremadamente cara.

A veces basta recurrir al sentido común para darse cuenta que cerrar una puerta con llave o cortar la electricidad en ciertas áreas siguen siendo técnicas válidas en cualquier entorno.

A continuación se analizan los peligros más importantes que se corren en un centro de procesamiento; con el objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la prevención, reducción, recuperación y corrección de los diferentes tipos de riesgos.

1. Incendios 
2. Inundaciones
   Se las define como la invasión de agua por exceso de escurrimientos superficiales o por acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial.
   Esta es una de las causas de mayores desastres en centros de cómputos.
   Además de las causas naturales de inundaciones, puede existir la posibilidad de una inundación provocada por la necesidad de apagar un incendio en un piso superior.
   Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techo impermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertas para contener el agua que bajase por las escaleras.
3. Condiciones Climatológicas 
4. Señales de Radar
   La influencia de las señales o rayos de radar sobre el funcionamiento de una computadora ha sido exhaustivamente estudiada desde hace varios años.
   Los resultados de las investigaciones más recientes son que las señales muy fuertes de radar pueden inferir en el procesamiento electrónico de la información, pero únicamente si la señal que alcanza el equipo es de 5 Volts/Metro, o mayor.
   Ello podría ocurrir sólo si la antena respectiva fuera visible desde una ventana del centro de procesamiento respectivo y, en algún momento, estuviera apuntando directamente hacia dicha ventana.
5. Instalaciones Eléctricas 
6. Ergometría 

Acciones Hostiles

1. Robo 
   Las computadoras son posesiones valiosas de las empresas y están expuestas, de la misma forma que lo están las piezas de stock e incluso el dinero. 
   Es frecuente que los operadores utilicen la computadora de la empresa para realizar trabajos privados o para otras organizaciones y, de esta manera, robar tiempo de máquina. 
   La información importante o confidencial puede ser fácilmente copiada. Muchas empresas invierten millones de dólares en programas y archivos de información, a los que dan menor protección que la que otorgan a una máquina de escribir o una calculadora. 
   El software, es una propiedad muy fácilmente sustraíble y las cintas y discos son fácilmente copiados sin dejar ningún rastro
2. Fraude
   Cada año, millones de dólares son sustraídos de empresas y, en muchas ocasiones, las computadoras han sido utilizadas como instrumento para dichos fines.
   Sin embargo, debido a que ninguna de las partes implicadas (compañía, empleados, fabricantes, auditores, etc.), tienen algo que ganar, sino que más bien pierden en imágen, no se da ninguna publicidad a este tipo de situaciones.
3. Sabotaje
   El peligro más temido en los centros de procesamiento de datos, es el sabotaje. Empresas que han intentado implementar programas de seguridad de alto nivel, han encontrado que la protección contra el saboteador es uno de los retos más duros. Este puede ser un empleado o un sujeto ajeno a la propia empresa.
   Físicamente, los imanes son las herramientas a las que se recurre, ya que con una ligera pasada la información desaparece, aunque las cintas estén almacenadas en el interior de su funda de protección. Una habitación llena de cintas puede ser destruida en pocos minutos y los centros de procesamiento de datos pueden ser destruidos sin entrar en ellos. 
   Además, suciedad, partículas de metal o gasolina pueden ser introducidos por los conductos de aire acondicionado. Las líneas de comunicaciones y eléctricas pueden ser cortadas, etc.

Control de Accesos

El control de acceso no sólo requiere la capacidad de identificación, sino también asociarla a la apertura o cerramiento de puertas, permitir o negar acceso basado en restricciones de tiempo, área o sector dentro de una empresa o institución.

1. Utilización de Guardias 
2. Utilización de Detectores de Metales
   El detector de metales es un elemento sumamente práctico para la revisión de personas, ofreciendo grandes ventajas sobre el sistema de palpación manual.
   La sensibilidad del detector es regulable, permitiendo de esta manera establecer un volumen metálico mínimo, a partir del cual se activará la alarma.
   La utilización de este tipo de detectores debe hacerse conocer a todo el personal. De este modo, actuará como elemento disuasivo.
3. Utilización de Sistemas Biométricos
4. Verificación Automática de Firmas (VAF)
   En este caso lo que se considera es lo que el usuario es capaz de hacer, aunque también podría encuadrarse dentro de las verificaciones biométricas.
   Mientras es posible para un falsificador producir una buena copia visual o facsímil, es extremadamente difícil reproducir las dinámicas de una persona: por ejemplo la firma genuina con exactitud.
   La VAF, usando emisiones acústicas toma datos del proceso dinámico de firmar o de escribir.
   La secuencia sonora de emisión acústica generada por el proceso de escribir constituye un patrón que es único en cada individuo. El patrón contiene información extensa sobre la manera en que la escritura es ejecutada. 
   El equipamiento de colección de firmas es inherentemente de bajo costo y robusto. 
   Esencialmente, consta de un bloque de metal (o algún otro material con propiedades acústicas similares) y una computadora barata.
5. Seguridad con Animales
   Sirven para grandes extensiones de terreno, y además tienen órganos sensitivos mucho más sensibles que los de cualquier dispositivo y, generalmente, el costo de cuidado y mantenimiento se disminuye considerablemente utilizando este tipo de sistema.
   Así mismo, este sistema posee la desventaja de que los animales pueden ser engañados para lograr el acceso deseado.
6. Protección Electrónica 

Conclusiones

Evaluar y controlar permanentemente la seguridad física del edificio es la base para o comenzar a integrar la seguridad como una función primordial dentro de cualquier organismo.

Tener controlado el ambiente y acceso físico permite:

• disminuir siniestros
• trabajar mejor manteniendo la sensación de seguridad
• descartar falsas hipótesis si se produjeran incidentes
• tener los medios para luchar contra accidentes

Las distintas alternativas estudiadas son suficientes para conocer en todo momento el estado del medio en el que nos desempeñamos; y así tomar decisiones sobre la base de la información brindada por los medios de control adecuados.

Estas decisiones pueden variar desde el conocimiento de la áreas que recorren ciertas personas hasta la extremo de evacuar el edificio en caso de accidentes.

SEGURIDAD LOGICA.

INTRODUCCION

La seguridad lógica consiste en la «aplicación de barreras y procedimientos que resguarden el acceso a los datos  y solo se permita acceder a ellos alas personas autorizadas.

Los objetivos que se plantean serán:

*Restringir el acceso a los programas y archivos.

*Asegurar que los operadores puedan trabajar si una supervisión minuciosa.

*Asegurar que estén utilizando los datos, archivos y programas correctos.

*Que la información transmitida  sea recibida solo por el destinatario

*Que la información recibida sea la misma que sea sido transmitida.

*Que existan sistemas alternativos secundarios de trasmisión entre diferentes puntos.

*Que se disponga de pasos alternativos de emergencia para la trasmisión de información. 

CONTROLES DE ACCESO.

Estos controles pueden implementarse en el sistema operativo, sobre los sistemas de aplicación, en bases de datos, en un paquete especifico de seguridad o en cualquier otro utilitario.

Constituyen una importante ayuda para proteger el sistema operativo de la red al sistema de aplicación y demás software de la utilización o modificaciones no autorizadas.

El national institute for standars and technology (NIST) han resumido los siguientes estándares de seguridad.

IDENTIFICACION Y AUTENTIFICACION.

Se denomina identificación al momento en que el usuario se da a conocer en el sistema; y autentificación ala verificación que realiza el sistema sobre esta identificación.

Existen cuatro tipos de técnicas que permiten la autentificación de la identidad del usuario.

1)    Algo que solamente el individuo conoce

Ejemplo una clave secreta de acceso o password.

2)    Algo que la persona posee

Ejemplo una tarjeta magnética

3)    Algo que el individuo es y que lo identifica unívocamente

Ejemplo las huellas digitales o la voz

4)    Algo que el individuo es capaz de hacer

Ejemplo los patrones de escritura.

Una de la posibles técnicas para implementar esta única identificación de usuarios seria la utilización de un servidor de autenticaciones sobre el cual los usuarios se identifican y se encarga luego de autenticar al usuario sobre los restantes equipos a los que este pueda acceder

La seguridad informática se basa, en la efectiva administración de los permisos de acceso a los recursos informáticos.

Esta administración abarca:

*Proceso de solicitud,establecimiento,manejo,seguimiento y cierre de las cuentas de usuarios.

*La identificación de los usuarios debe definirse de acuerdo con una norma homogénea para toda la organización.

*Revisiones periódicas sobre la administración de las cuentas y los permisos de acceso establecidos.

*La revisiones deben orientarse a verificar la adecuación de los permisos de acceso de cada individuo de acuerdo a sus necesidades operativas

*Detección de actividades no autorizadas.

*Nuevas consideraciones relacionadas con cambios en la asignación de funciones del empleado.

*Procedimientos a tener en cuenta en caso de desvinculaciones de personal con la organización.

Para evitar estas situaciones, es recomendable anular los permisos de acceso a las personas que se desvincularan de la organización.

ROLES.

El acceso a la información también puede controlarse a través de la función o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles serian:

*programador

*líder del proyecto

*gerente de un área usuaria

*administrador del sistema

En este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los usuarios.

TRANSACCIONES.

También pueden implementarse controles a través de la transacciones, por ejemplo solicitando una clave al requerir el procesamiento de una transacción determinada.

LIMITACIONES A LOS SERVICIOS.

Estos controles se refieren a las restricciones que dependen de parámetros propios de la utilización de la aplicación o preestablecidos por el administrador del sistema. Un ejemplo podría ser que en la organización se disponga de licencias para la utilización simultanea de un determinado producto de software para cinco personas, en donde exista un control a nivel sistema que no permita la utilización del producto a un sexto usuario.

MODALIDADES DE ACCESO.

Se refiere al modo de acceso que se permite al usuario sobre los recursos y a la información.

Esta modalidad puede ser:

•       Lectura : el usuario puede únicamente leer o visualizar la información pero no puede alterarla. Debe considerarse que la información puede ser copiada o impresa.

•       Escritura: este tipo de acceso permite agregar datos, modificar o borrar información.

•       Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas.

•       Borrado: permite al usuario eliminar recursos del sistema ( como programas, campos de datos o archivos ). El borrado es considerado una forma de modificación.

Existen otras modalidades de acceso especiales, que generalmente se incluyen en los sistemas de aplicación:

•       Creación: permite al usuario crear nuevos archivos, registros o campos.

•       Búsqueda: permite listar los archivos de un directorio determinado.

UBICACION Y HORARIO.

El acceso a determinados recursos del sistema puede estar basado en la ubicación física o lógica de los datos o personas. En cuanto a los horarios, este tipo de controles permite limitar el acceso de los usuarios a determinadas horas de día o a determinados días de la semana. De esta forma se mantiene un control mas restringido de los usuarios y zonas de ingreso.

Se debe mencionar que estos dos  tipos de controles siempre deben ir acompañados de alguno de los controles anteriormente mencionados.

CONTROL DE ACCESO INTERNO.

—  -Passwords.

—  -Sincronización de passwords.

—  -Caducidad y control.

—  -Encriptación.

—  -Lista de control de accesos.

—  -Limites sobre la interface de usuario.

—  -Etiquetas de seguridad.

CONTROL DE ACCESO EXTERNO

-Dispositivos de control de puertos.

-Firewalls o puertas de seguridad.

-Acceso  personal contratado o consultores.

-Accesos públicos.

ADMINISTRACIÓN

Una vez establecidos los controladores de acceso sobre los sistemas y la aplicación, es necesario realizar una eficiente administración de estas medidas de seguridad lógica.

La política de seguridad que se desarrolle respecto a la seguridad lógica debe guiar a las decisiones referentes a la determinación de los controles de accesos y especificando las consideraciones para el establecimiento de perfiles del usuarios

ADMISNISTRACIÓN PERSONAL Y USUARIOS

•     Definición de puestos.

•  Determinación de la sensibilidad del puesto.

•   Elección de la persona apara a cada puesto.

•  Entrenamiento inicial y continuo del ejemplo.

•   Sólo cuando los usuarios están capacitados y tienen una conciencia formada respecto a la seguridad pueden asumir su responsabilidad individual

AMENAZAS HUMANAS.

PATAS DE PALO Y PARCHES.

Los hackers se mueven en una delgada e indefinida barrera que separa lo legal de lo ilegal. Las instituciones y las multinacionales del software les temen, la policía los persigue y hay quien los busca para contratarlos.

Hay quienes los llaman piratas y delincuentes. Ellos Reivindican su situación e intentan aclarar las diferencias entre los distintos clanes del underground asegurado que sus acciones se rigen por un código ético.

Alguien aseguró que el que no usa su PC para escribir cartas, lleva un hacker dentro. Esta afirmación es una falacia si entendemos como hacker es un pirata informático

La policía quiere creer  que todos los hacker son ladrones. Es una acción tortuosa i casi insoportable por parte del sistema judicial. Poner a la gente en la cárcel, simplemente por que quieren aprender que cosas que les esta prohibido saber.

En el MIT (Massachusetts Institute of Techonology) existen diferentes grupos con intereses especiales, fraternidades y similares que cada año intentan reclutar a los nuevos estudiantes para sus filas.

De esta historia podemos obtener el perfil principal:

·       -  Un hacker es a todas luces, alguien con profundos conocimientos sobre la tecnología.

·        - Tiene ansias de saberlo todo, de obtener conocimiento.

·         -Le gusta (apasiona) la investigación.

·         -Disfruta del reto intelectual y de rodear las limitaciones en forma creativa.

·         -Busca la forma de comprender las características del sistema estudiado, aprovechar sus posibilidades y por último modificarlo y observar los resultados.

·         -Dicen NO a la sociedad e la información y SI a la sociedad informática.

Hoy los hackers se sienten maltratados por la opinión publica, incomprendidos por una sociedad que no es capaz de comprender su mundo y perseguidos por las fuerzas del orden y por multinacionales que desean contratarlos.

LA ACTITUD DEL HACKER.

El status y la reputación se gana por donar cosas, como su tiempo, paciencia, creatividad, etc.

Existen básicamente cinco clases de cosas que un hacker puede hacer para obtener el respeto de otros hackers:

• Escribir programas que los otros hackers opinen son divertidos y/o útiles, y donar las fuentes del programa a la cultura hacker para que sean utilizados. Los más reverenciados semidioses del hackers son las personas que han escrito programas de gran magnitud, con grandes capacidades que satisfacen necesidades de largo alcance, y los donan, de tal manera que cualquiera pueda utilizarlos (free).
• Ayudar a probar y depurar software libre. Son reconocidas aquellas personas que depuran los errores del software libre. 
• Recolectar y filtrar información útil e interesante y construir páginas Web o documentos como FAQs y ponerlos a disposición de los demás.
• Ayudar a mantener en funcionamiento la infraestructura. La cultura hacker funciona gracias al trabajo voluntario. 
• Hacer algo por la cultura hacker en sí misma.

DEFINICION DE HACKER.

Un Hacker es una persona que está siempre en una continua búsqueda de información, vive para aprender y todo para él es un reto; lucha por la difusión libre de información, distribución de software sin costo y la globalización de la comunicación.

El concepto de hacker, generalmente es confundido erróneamente con los mitos que existen acerca de este tema:

• Un hacker es pirata.
• Un hacker es el que entra en los sistemas ajenos y se dedica a destruir la información almacenada en ellos. 

Veamos que sí es un Hacker:

1. Un verdadero Hacker es curioso y paciente.
2. Un verdadero Hacker no se mete en el sistema para borrarlo todo o para vender lo que consiga. Quiere aprender y satisfacer su curiosidad. 
3. Un Hacker es inconformista, ¿porqué pagar por una conexión que actualmente cuesta mucho dinero, y además es limitada? ¿Porqué pagar por una información que solo van a utilizar una vez?.
4. Un Hacker es discreto.
5. Un Hacker disfruta con la exploración de los detalles de los sistemas programables y aprovecha sus posibilidades.
6. Un Hacker programa de forma entusiasta (incluso obsesiva), rápido y bien.
7. Un Hacker es experto en un programa en particular, o realiza trabajos frecuentemente usando cierto programa.
8. Los Hackers suelen congregarse. 
9. Un Hacker disfruta del reto intelectual de superar o rodear las limitaciones de forma creativa.

No se necesita ser nerd, para ser un hacker.

CRACKER.Es una persona que tiene fines maliciosos o de venganza, quiere demostrar sus habilidades pero de la manera equivocada o simplemente personas que hacen daño solo por diversión. Los hackers opinan de ellos que son "... Hackers mediocres, no demasiados brillantes, que buscan violar (literalmente "break") un sistema".

PHREAKERS. Son Crackers de las redes de comunicación. Personas con amplios (a veces mayor que el de los mismo empleados de las compañías telefónicas) conocimientos en telefonía.Se dice que el Phreaking es el antecesor del Hacking ya que es mucho más antiguo.

CARDING-TRASHING.Entre las personas que dedicaban sus esfuerzos a romper la seguridad como reto intelectual hubo un grupo (con no tan buenas intenciones) que trabajaba para conseguir una tarjeta de crédito ajena. Así nació:

• El Carding , es el uso (o generación) ilegitimo de las tarjetas de crédito (o sus números), pertenecientes a otras personas con el fin de obtener los bienes realizando fraude con ellas. Se relaciona mucho con el Hacking y el Cracking, mediante los cuales se consiguen los números de las tarjetas.
• El Trashing , que consiste en rastrear en las papeleras en busca de información, contraseñas o directorios.

DESAFIOS DE UN HACKER:

• El mundo está lleno de problemas fascinantes que esperan ser resueltos.
• El esfuerzo requiere motivación.resuelve un problema, agudiza sus habilidades, y ejercita su inteligencia.
• Nadie debería tener que resolver un problema dos veces.
• Los cerebros creativos son un recurso valioso y limitado. 
• Lo aburrido y lo rutinario es malo.
• Los hackers no deberían ser sometidas a trabajos rutinarios, porque cuando esto sucede significa que no están resolviendo nuevos problemas.
• La libertad es buena.
• Los hackers son naturalmente anti-autoritaristas. Cualquiera que le pueda dar órdenes, puede hacer que deba dejar de resolver ese problema con el cual está fascinado.
• La actitud no es sustituto para la competencia.
• Tener la actitud para ser hacker no alcanza. Para transformarse en hacker necesitará inteligencia, práctica, dedicación, y trabajo pesado. Por lo tanto, debe respetar la competencia en todas sus formas.

¿COMO LO HACEN LOS HACKERS?

Quizás esta sea la pregunta más escuchada cuando se habla de hackers y los ataques por ellos perpetrados.

Para contestarla debemos ser conscientes de cada una las características de los hackers entre las que se destacan la paciencia y la perseverancia ante el desafío planteado. Será común ver a algunos de ellos fisgonear durante meses a la victima para luego recién intentar un ataque que además de efectivo debe ser invisible.

LA ETICA DEL HACKER.

Los hackers desarrollaron un código de ética o una serie de principios que eran tomados como un acuerdo implícito y no como algo escrito o fijo:

1. El acceso a las computadoras debe ser ilimitado y total.
2. El acceso a la información debe ser libre y gratuito.
3. Desconfíen de la autoridad, promuevan la descentralización.
4. Los hackers deben ser juzgados por su habilidad, no por criterios absurdos como títulos, edad, raza o posición social.
5. Se puede crear arte y belleza en una computadora.
6. Las computadoras pueden cambiar tu vida para mejor.

Así también se desarrollaron los algunos "Mandamientos" en los cuales se basa un hacker a la hora de actuar sobre los sistemas que ataca:

1. Nunca destroces nada intencionadamente en la PC que estés hackeando.
2. Modifica solo los ficheros que hagan falta para evitar tu detección y asegurar tu acceso futuro al sistema.
3. Nunca dejes tus datos reales, tu nombre o tu teléfono en ningún sistema, por muy seguro que creas que es.
4. Ten cuidado a quien le pasas información.
5. Nunca dejes tus datos personales en un BBS, si no conoces al SysOp, déjale un mensaje con la lista de gente que pueda responder por tí.
6. Nunca hackees en computadoras del gobierno. 
7. No uses Blue Box a menos que no tengas un PAD local o número gratuito al que conectarte, si se abusa de la Blue Box, puedes ser cazado.
8. No dejes en mucha información del sistema que estas hackeando. 
9. No te preocupes en preguntar, nadie te contestara.
10. Punto final. Hasta que no estés realmente hackeando, no sabrás que es...

MANIFIESTO DEL HACKER. (THE MENTOR)

En los principios, un grupo de hacker, llamado Legion of Dom, dirigido por The Mentor, quería demostrar hasta donde era capaz de llegar.Para ello modificaron la pagina principal del sitio web de la NASA durante media hora.

GURUS.Son considerados los maestros y los encargados de "formar" a los futuros hackers. Generalmente no están activos pero son identificados y reconocidos por la importancia de sus hackeos, de los cuales sólo enseñan las técnicas básicas.

LAMERS O SCRIPT-KIDDERS.Son aficionados jactosos. Prueban todos los programas (con el título "como ser un hacker en 21 días") que llegan a sus manos. Generalmente son los responsables de soltar virus y bombas lógicas en la red sólo con el fin de molestar y que otros se enteren que usa tal o cual programa. Son aprendices que presumen de lo que no son .
COPYHACKERS. Literalmente son falsificadores sin escrúpulos que comercializan todo lo copiado (robado).

BUCANEROS. Son comerciantes sucios que venden los productos crackeados por otros. 

NEWBIE.Son los novatos del hacker. Se introducen en sistemas de fácil acceso y fracasan en muchos intentos, sólo con el objetivo de aprender las técnicas que puedan hacer de él, un hacker reconocido.

WANNABE.Es aquella persona que desea ser hacker pero estos consideran que su coeficiente no da para tal fin. 

SAMURAI.Son lo más parecido a una amenaza pura. Sabe lo que busca, donde encontrarlo y cómo lograrlo. Hace su trabajo por encargo y a cambio de dinero. 

PIRATAS INFORMÁTICOS. Este personaje (generalmente confundido con el hacker) es el realmente peligroso desde el punto de vista del Copyright, ya que copia soportes audiovisuales (discos compactos, cassettes, DVD, etc.) y los vende ilegalmente.

CREADORES DE VIRUS.Si de daños y mala fama se trata estos personajes se llevan todos los premios. Aquí, una vez más, se debe hacer la diferencia entre los creadores: que se consideran a sí mismos desarrolladores de software; y los que infectan los sistemas con los virus creados. Sin embargo es difícil imaginar que cualquier "desarrollador" no se vea complacido al ver que su "creación" ha sido ampliamente "adquirida por el público".

PERSONAL (INSIDERS.)

Se ha presentado al personal como víctima de atacantes externos; sin embargo, de los robos, sabotajes o accidentes relacionados con los sistemas informáticos, el 70% (son causados por el propio personal de la organización propietaria de dichos sistemas ("Inside Factor").Como ya se ha mencionado, los ataque pueden ser activos o pasivos y el personal puede realizar ambos.

PERSONAL INTERNO. Las amenazas a la seguridad de un sistema , provenientes del personal del propio sistema informático  rara vez es tomada en cuenta porque se supone un ámbito de confianza muchas veces inexistente.

EX-EMPLEADO. Generalmente se trata de personas descontentas con la organización que conocen a la perfección la estructura del sistema y tienen los conocimientos necesarios como para causar cualquier tipo de daño. También han existido casos donde el ex-empleado deja Bombas Lógicas que ''explotan'' tiempo después de marcharse.

CURIOSOS. Son personas que tienen un alto interés en las nuevas tecnologías  pero aún no tienen los conocimientos ni experiencia básicos para considerarlos hackers o crackers.

TERRORISTAS.Bajo esta definición se engloba a cualquier persona que ataca el sistema para causar daño de cualquier índole en el.

INTRUSOS REMUNERADOS. Crackers o piratas pagados por una tercera parte para robar ''secretos''.

RECOMENDACIONES.
-Necesidad de conocimiento
-Conocimiento Parcial.
-Rotacion de funciones.
-Separacion de funciones.
-Cancelacion inmediata de cuenta.

DELITOS INFORMÁTICOS.

La información y el delito.El delito informático implica actividades criminales, tales como robos, hurtos, fraudes, falsificaciones, perjuicios, estafas, sabotajes."Los delitos informáticos se realizan necesariamente con la ayuda de los sistemas informáticos, pero tienen como objeto del injusto la información en sí misma".Julio Téllez Valdez clasifica a los delitos informáticos en base a dos criterios:

1. Como instrumento o medio.
2. Como fin u objetivo.

María Luz Lima, por su parte, presenta la siguiente clasificación de "delitos electrónicos" :

1. Como Método.
2. Como Medio.
3. Como Fin.

Tipos de delitos informáticos.

1. Fraudes cometidos mediante manipulación de computadoras

• Manipulación de los datos de entrada.
• La manipulación de programas.
• Manipulación de los datos de salida.
• Fraude efectuado por manipulación informática.

2. Manipulación de los datos de entrada

• Como objeto.
• Como instrumento.

3. Daños o modificaciones de programas o datos computarizados

• Sabotaje informático.
• Acceso no a autorizado a servicios y sistemas informáticos.
• Reproducción no autorizada de programas informáticos de protección legal.

Adicionalmente a estos tipos de delitos reconocidos, el XV Congreso Internacional de Derecho ha propuesto todas las formas de conductas lesivas de la que puede ser objeto la información.

Ellas son:

• Fraude en el campo de la informática.
• Falsificación en materia informática.
• Sabotaje informático y daños a datos computarizados o programas informáticos.
• Acceso no autorizado.
• Intercepción sin autorización.
• Reproducción no autorizada de un programa informático protegido.
• Espionaje informático.
• Uso no autorizado de una computadora.
• Tráfico de claves informáticas obtenidas por medio ilícito.
• Distribución de virus o programas delictivos.

Delincuente y victima.

Sujeto Activo

Se llama así a las personas que cometen los delitos informáticos. Son aquellas que poseen ciertas características que no presentan el denominador común de los delincuentes, esto es, los sujetos activos tienen habilidades para el manejo de los sistemas informáticos y generalmente por su situación laboral se encuentran en lugares estratégicos donde se maneja información de carácter sensible, o bien son hábiles en el uso de los sistemas informatizados, aún cuando, en muchos de los casos, no desarrollen actividades laborales que faciliten la comisión de este tipo de delitos.

Sujeto Pasivo

Este, la víctima del delito, es el ente sobre el cual recae la conducta de acción u omisión que realiza el sujeto activo. Las víctimas pueden ser individuos, instituciones crediticias, instituciones militares, gobiernos, etc. que usan sistemas automatizados de información, generalmente conectados a otros.

Legislación Nacional.

En los últimos años se ha perfilado en el ámbito internacional un cierto consenso en las valoraciones político-jurídicas de los problemas derivados del mal uso que se hace de las computadoras, lo cual ha dado lugar a que, en algunos casos, se modifiquen los derechos penales nacionales e internacionales.

La ONU señala que cuando el problema se eleva a la escena internacional, se magnifican los inconvenientes y los delitos informáticos se constituyen en una forma de crimen transnacional.

En este sentido habrá que recurrir a aquellos tratados internacionales de los que nuestro país es parte y que, en virtud del Artículo 75 inc. 22 de la Constitución Nacional reformada en 1994, tienen rango constitucional.

Argentina también es parte del acuerdo que se celebró en el marco de la Ronda Uruguay del Acuerdo General de Aranceles Aduaneros y Comercio, que en su artículo 10, relativo a los programas de ordenador y compilaciones de datos, establece que:

• este tipo de programas, ya sean fuente u objeto, serán protegidos como obras literarias de conformidad con el Convenio de Berna, de julio 1971, para la Protección de Obras Literarias y Artísticas;
• las compilaciones de datos posibles de ser legibles serán protegidos como creaciones de carácter intelectual y que;
• para los casos de falsificación dolosa de marcas de fábrica o de comercio o de piratería lesiva del derecho de autor a escala comercial se establecerán procedimientos y sanciones penales además de que, " los recursos disponibles comprenderán la pena de prisión y/o la imposición de sanciones pecuniarias suficientemente disuasorias"

Legislacion Internacional

Alemania.

En Alemania, para hacer frente a la delincuencia relacionada con la informática, el 15 de mayo de 1986 se adoptó la Segunda Ley contra la Criminalidad Económica.

Esta ley reforma el Código Penal (art. 148 del 22 de diciembre de 1987) para contemplar los siguientes delitos:

• Espionaje de datos.

• Estafa informática.

• Falsificación de datos probatorios.

• Alteración de datos.

• Sabotaje informático.

• Destrucción de datos de especial significado por medio de deterioro, inutilización, eliminación o alteración de un sistema de datos. 

• Utilización abusiva de cheques o tarjetas de crédito.

Austria

contempla los siguientes delitos:

• Destrucción de datos 

(art. 126) 

Estafa informática (art. 148) se sanciona a aquellos que con dolo causen un perjuicio patrimonial a un tercero influyendo en el resultado de una elaboración de datos automática a través de la confección del programa, por la introducción, cancelación o alteración de datos o por actuar sobre el procesamiento de datos. Además contempla sanciones para quienes cometen este hecho utilizando su profesión.

Chile

Fue el primer país latinoamericano en sancionar una Ley contra Delitos Informáticos. La ley 19223 publicada en el Diario Oficial (equivalente del Boletín Oficial argentino) el 7 de junio de 1993 señala que la destrucción o inutilización de un sistema de tratamiento de información puede ser castigado con prisión de un año y medio a cinco.

Como no se estipula la condición de acceder a ese sistema, puede encuadrarse a los autores de virus. Si esa acción afectara los datos contenidos en el sistema, la prisión se establecería entre los tres y los cinco años.

China.

El Tribunal Supremo Chino castigará con la pena de muerte el espionaje desde Internet, según se anunció el 23 de enero de 2001.

Todas las personas "implicadas en actividades de espionaje", es decir que "roben, descubran, compren o divulguen secretos de Estado" desde la red podrán ser condenadas con penas que van de diez años de prisión hasta la muerte. 

España.

Este país quizás sea el que mayor experiencia ha obtenido en casos de delitos informáticos, en Europa.Se sanciona la obtención o violación de secretos, el espionaje, la divulgación de datos privados, las estafas electrónicas, el hacking maligno o militar, el phreacking, la introducción de virus, etc.; aplicando pena de prisión y multa, agravándolas cuando existe una intención dolosa o cuando el hecho es cometido por parte de funcionarios públicos.

Estados Unidos.

El primer abuso de una computadora se registró en 1958.En 1994 se adopto el acta federal del abuso computacional modificando el acta de 1986, el FCIC es la organización mas importante e influyente en lo referente a delitos computacionales.

Francia

Aquí la Ley 88/19 del 5 de enero de 1988 sobre el fraude informático contempla:

• Acceso fraudulento a un sistema de elaboración de datos.

• Sabotaje Informático

• Destrucción de datos.

• Falsificación de documentos informatizados.

Holanda.

Hasta el día 1 de marzo de 1993, día en que entró en vigencia la Ley de Delitos Informáticos, Holanda era un paraíso para los hackers. Esta ley contempla con artículos específicos sobre técnicas de Hacking y Phreacking.

El mero hecho de entrar en una computadora en la cual no se tiene acceso legal ya es delito y puede ser castigado hasta con seis meses de cárcel.

Inglaterra.

Luego de varios casos de hacking surgieron nuevas leyes sobre delitos informáticos. En agosto de 1990 comenzó a regir la Computer Misuse Act (Ley de Abusos Informáticos) por la cual cualquier intento, exitoso o no de alterar datos informáticos con intención criminal se castiga con hasta cinco años de cárcel o multas sin límite.