Portafolio Samuel Orozco IU Pascual Bravo

 

 

 

  Correctness by Construction (CbyC): Es un método efectivo para desarrollar software que demanda un nivel de seguridad critico y que además sea demostrable. Las metas principales de esta metodología son obtener una taza de defectos al mínimo y una alta resiliencia al  cambio; los cuales se logran debido a dos principios fundamentales: que sea muy difícil introducir errores y asegurarse que los errores sean removidos tan pronto hayan sido inyectados. El CbyC consta además de las siguientes fases:  Fase de Requerimientos Fase de Diseño de Alto Nivel Fase de Especificaciones de Software Fase de Diseño Detallado Fase de Especificación de los Módulos Fase de Codificación Fase de las Especificaciones de las Pruebas Fase de Construcción del Software Security Development Lifecycle (SDL): Es un proceso para mejorar la seguridad de software propuesto para la compañía de Microsoft en el año 2004. Las practicas que propone SDL van desde una etapa de entrenamiento sobre temas de segu...

 

 Es un estándar internacional que establece los requisitos para un sistema de gestión de seguridad de la información (SGSI). Se centra en la seguridad de la información y proporciona un marco para ayudar a las organizaciones a proteger la confidencialidad, integridad y disponibilidad de la información critica. Se basa en la implementación de un SGSI y establece una seria de requisitos que una organización debe cumplir para poder establecer, implementar, mantener y mejorar dicho SGSI. Además, proporciona un conjunto de controles de seguridad de la información que pueden ser implementados para gestionar los riesgos. Esta norma enfatiza la importancia de realizar una evaluación de riesgos de seguridad de la información para identificar y evaluar las amenazas y vulnerabilidades que pueden afectar a los activos de información, por lo tanto las organizaciones deben comprender su contexto y determinar los aspectos internos y externos que pueden afectar la seguridad de la información, adem...

 XSS Es una vulnerabilidad del software que permite ejecutar código de scripting en una aplicación debido a una incorrecta validación de los datos de entrada de la misma, generalmente las aplicaciones vulnerables a XSS son aquellas que utilizan el HTML, como páginas web, phising, exploits de navegadores. Los objetivos de las personas las cuales realizan este tipo de ataque son: Conseguir acceso no autorizado, robo de información o causar daños económicos. El XSS además se puede presentar de forma directa, cuando el atacante embebe código HTML malicioso en sitios que así lo permiten, o de forma indirecta, cuando el código maligno se inyecta a través de formularios, de la URL, programas en FLASH o videos y se busca que la victima entre a esos enlaces. Desbordamiento de Buffer Es un tipo de vulnerabilidad del software que se da cuando se copia una cantidad de datos sobre un área de memoria que no es lo suficientemente grande para contenerlos, sobrescribiendo otras posiciones de memori...

 Son una técnica de modelado que se utiliza en ciberseguridad y gestión de riesgos para representar y analizar escenarios de ataques informáticos. Estos arboles ayudan a las organizaciones a evaluar y comprender los riesgos al representar visualmente los posibles caminos que un atacante podría seguir para alcanzar un objetivo. El árbol comienza con un nodo raíz que representa el objetivo del ataque, a medida que se desarrolla el árbol, se crean ramas y nodos adicionales para representar las decisiones y acciones tomadas por el atacante. Cada nodo puede representar una acción especifica. El árbol de ataque puede incluir condiciones y probabilidades en los nodos para identificar factores que pueden influir en el éxito o el fracaso de un acción. Una vez se ha construido el árbol, las organizaciones pueden usar esta representación para planificar medidas de seguridad y estrategias de mitigación, además de que pueden identificar los puntos críticos en el árbol y tomar medidas para forta...

 Es un enfoque de análisis de riesgos que se utiliza para evaluar y gestionar los riesgos de seguridad de la información en las organizaciones. Se centra en la identificación  y gestión de riesgos de seguridad de la información de manera practica y operativa. Comienza identificando los activos de información críticos para la organización y las amenazas que podrían afectar dichos activos, para después identificar las vulnerabilidades que podrían ser explotadas por las amenazas. Después evalúa la probabilidad de que ocurra un incidente de seguridad y el impacto potencial de dicho incidente en la organización. OCTAVE ayuda además a desarrollar estrategias de mitigación implicando la identificación de medidas de control para reducir la probabilidad y el impacto de los riesgos. Este proceso es iterativo y se repite a lo largo del tiempo  para asegurarse de que los riesgos se gestionen de manera efectiva a medida que cambian la amenazas y las condiciones de la organización.

 ISO 27005 Esta metodología proporciona un marco para la gestión de riesgos de seguridad de la información. Se centra en la identificación de activos de información, amenazas , vulnerabilidades y la evaluación de riesgos utilizando una matriz. MAGERIT Se enfoca en evaluar los riesgos de los sistemas de información utilizando un enfoque estructurado que incluye la identificación de activos, amenazas, vulnerabilidades y evalúa la probabilidad y el impacto de los riesgos. FAIR Se centra en cuantificar los riesgos de seguridad de la información de manera mas precisa, utilizando modelos matemáticos y estadísticas para evaluar y comunicar el riesgo. NIST SP 800-30 Proporciona un enfoque detallado para identificar, evaluar y gestionar los riesgos de seguridad de la información basándose en la evaluación cualitativa y cuantitativa de los riesgos. OCTAVE Se centra en la identificación y gestión de riesgos en términos de amenazas, activos críticos y vulnerabilidades, es bastante adecuado par...

 SPAM Son mensajes no solicitados, habitualmente de tipo publicitario, enviados en forma masiva. La vía mas utilizada es la basada en el correo electrónico (SPAM), pero puede llegar a presentarse por mensajería instantánea (SPIM), por teléfono celular (SPAM SMS) o por telefonía IP (SPIT), y su objetivo es el de recolectar direcciones de correo electrónico reales para beneficios económicos, transmitir virus, capturar contraseñas, entre otros. HOAX Es un mensaje de correo electrónico con contenido falso o engañoso y normalmente distribuido en cadena. El objetivo de las personas que inician un HOAX pueden ser capturar direcciones de correo o saturar la red o los servidores de correo. MALWARE Es un software malicioso el cual tiene como objetivo el infiltrarse o dañar la computadora. El termino malware incluye: Virus, Gusanos, Troyanos, Rootkits, Spyware, Keyloggers, Stealers, Adware, Crimeware o Pharming. INGENIERIA SOCIAL Es una acción destinada a conseguir información de las personas...

 La normal NTC-ISO 27005 es un estándar internacional que se enfoca en la gestión de riesgos de seguridad de la información, se centra principalmente en ayudar a las organizaciones a identificar, evaluar y gestionar los riesgos relacionados con la seguridad de la información, implicando la protección de la confidencialidad, la integridad y la disponibilidad de la información critica para la organización. Esta norma es una parte integral del conjunto de normas ISO 27000 y se basa estrechamente en la norma ISO 27001, la cual establece los requisitos para un sistema de gestión de seguridad de la información (SGSI). Sin embargo la norma ISO 27005 proporciona flexibilidad para que las organizaciones adapten las metodologías y enfoques de gestión de riesgos según sus necesidades especificas, incluyendo la priorización de riesgos y la selección de medidas de control apropiadas, promoviendo además un enfoque iterativo y continuo, en el cal las organizaciones deben revisar y actualizar regu...

 

  En mi opinión, las 3 amenazas mas graves a la información son: Ciberataques: Esto debido a que pueden comprometer la integridad, confidencialidad y la disponibilidad de la información, lo que lleva a la perdida de datos, el robo de propiedad intelectual y la interrupción de operaciones empresariales. Fugas de Datos: Esto debido a que exponen la información personal de los individuos, además de que pueden dañar la confianza de los clientes y usuarios en una empresa u organización. Ataques Phishing: En este tipo de ataques se engañan a los usuarios para que revelen información confidencial, como contraseñas, lo que le permite a los atacantes acceder a cuentas y sistemas sensibles, causando graves daños al individuo y a la información.

Mi nombre es Samuel Orozco Mondragón, estudiante del programa Tecnología de Desarrollo de Software en su modalidad virtual. Aspiro con esta tecnología a mejorar en el área para en un futuro llegar a desempeñarme como un técnico en desarrollo de software.