instructivo guÍa de administraciÓn centro de datos y...
Post on 22-Mar-2020
7 Views
Preview:
TRANSCRIPT
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
1 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
INSTRUCTIVO GUÍA
DE ADMINISTRACIÓN
CENTRO DE DATOS Y
SEGURIDAD
INFORMÁTICA
NOMBRE: MANUEL SANCHEZ NOMBRE: PEDRO SEVILLANO NOMBRE: FERNANDO GALVIS P.
CARGO: DIRECTOR INFORMATICA Y SISTEMAS CARGO: DIRECTOR INFORMATICA Y SISTEMAS CARGO: COORDINADOR DE CALIDAD
FECHA: 26/11/2010 FECHA: 26/11/2010 FECHA: 26/11/2010
ELABORÓ REVISÓ APROBÓ
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
2 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
1 Instalación Sistema Operativo LINUX
INTRODUCCIÓN
La mayor parte de los ordenadores que existen en la actualidad están diseñados de forma que puedan ejecutar diversas tareas o
programas. Estos programas pueden ir desde un procesador de textos, a un programa para la animación de gráficos
tridimensionales o distintos tipos de juegos.
Para su correcto funcionamiento deben ser además capaces de acceder a los recursos de que dispone el ordenador, como por
ejemplo escribir o leer datos en un disco duro, mostrar un gráfico por pantalla, etc. Es evidente, que si cada programa actuase de
una forma independiente, existirían graves problemas y conflictos, puesto que, por ejemplo, tendrían libertad para escribir sus
datos sobre los de otro, etc.
Para solucionar este tipo de problemas se desarrollaron los Sistemas Operativos, los cuales aportan unos mecanismos y reglas
básicas de funcionamiento, de forma que los programas puedan acceder a los recursos del ordenador de una forma adecuada.
Aunque ésta fue la funcionalidad inicial de los sistemas operativos, con el tiempo se han añadido otras muchas, como la
ejecución de programas, el control de la memoria del ordenador, la creación y control de interfaces gráficas de usuario, etc.
En la actualidad existen una gran cantidad de sistemas operativos dependiendo del tipo de ordenador en el que se va a ejecutar.
Por ejemplo para los PC uno de los sistemas operativos más difundidos en Microsoft Windows, tanto en las versiones 95, 98,
2000, XP, NT 4.0 y 2003. Otros posibles sistemas operativos para este tipo de ordenadores son Solaris, OS/2, BeOS, Microsoft
DOS, o uno de los sistemas operativos más poderosos y en rápida expansión para PC, LINUX.
¿Qué es LINUX?
Linux es un sistema operativo gratuito y de libre distribución inspirado en el sistema Unix, escrito por Linux Torvalds con la
ayuda de miles de programadores en Internet. Unix es un sistema operativo desarrollado en 1970, una de cuyas mayores ventajas
es que es fácilmente portable a diferentes tipos de ordenadores, por lo que existen versiones de Unix para casi todos los tipos de
ordenadores, desde PC y Mac hasta estaciones de trabajo y superordenadores. Al contrario que otros sistemas operativos, como
por ejemplo Mac OS (Sistema operativo de los Apple Macintosh), Unix no está pensado para ser fácil de emplear, sino para ser
sumamente flexible. Por lo tanto Linux no es en general tan sencillo de emplear como otros sistemas operativos, aunque, se están
realizando grandes esfuerzos para facilitar su uso. Pese a todo la enorme flexibilidad de Linux y su gran estabilidad (y el bajo
coste) han hecho de este sistema operativo una opción muy a tener en cuenta por aquellos usuarios que se dediquen a trabajar a
través de redes, naveguen por Internet, o se dediquen a la programación. Además el futuro de Linux es brillante y cada vez más y
más gente y más y más empresas (entre otras IBM, Intel, Corel) están apoyando este proyecto, con lo que el sistema será cada
vez más sencillo de emplear y los programas serán cada vez mejores.
¿Con qué ordenador puedo instalar Linux?
Como sucede con otros sistemas operativos, Linux necesita de unos requisitos mínimos para poder instalarse y funcionar con
mínimo de calidad. Estos requisitos se pueden reducir si tanto la instalación como su uso van a ser únicamente en modo texto.
Nosotros vamos a instalarlo y ejecutarlo en modo gráfico, ya que va a ser mucho más sencillo.
Tabla 1.2.1: Requerimientos mínimos para la instalación de Linux Red Hat.
Mínimo Recomendado
Procesador Pentium 200 MHz Pentium III 700 Mhz
Memoria 128 MegaBytes 256 MegaBytes
Disco duro 6 GigaBytes 10 GigaBytes
CD ROM Necesario (4X) Necesario (24X)
Tarjeta gráfica 16 MegaBytes (VGA) 24 MegaBytes (SVGA)
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
3 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Sobre la preinstalación
Para la instalación de Red Hat podemos usar tanto un disco duro entero para él, como un disco duro con dos particiones. En
cualquiera de los casos, la partición ha de estar completamente libre, es decir, sin particionar. Para ello podemos usar, tanto las
herramientas que vengan con nuestro sistema operativo, como otras como Fdisk, Partición Magic, etc.
También podemos optar por instalar Red Hat en una máquina virtual, como por ejemplo el VMware, con lo cual el rendimiento
de nuestro Linux se verá notablemente reducido. Pero por el contrario podremos disfrutar de ambos sistemas operativos
simultáneamente y no necesitaremos particionar el disco.
La instalación la realizaremos desde CDs, por lo que es necesario configurar el ordenador para que la primera unidad de
arranque del sistema sea el CDROM. Este cambio se hace en la BIOS del ordenador, por lo que nos referiremos al manual de la
placa base para configurarlo correctamente.
Pasos a seguir
Una vez cumplidos los requisitos de la preinstalación, podemos comenzar la instalación de Red Hat. Para ello introduciremos el
primer CD en la unidad lectora y reiniciaremos el ordenador. Las primeras pantallas que veremos están en inglés hasta que se
selecciona el idioma que se desea para el sistema operativo.
Para hacer más sencillo el seguimiento de las instrucciones, la hemos dividido en los títulos de las pantallas que nos mostrará
durante la instalación.
Instalación de Red Hat, pantalla por pantalla
1) Inicio.
2) Welcome to Red Hat Linux.
3) Welcome
4) Language Selection (selección de lenguaje).
5) Teclado
6) Configuración del ratón.
7) Tipo de instalación.
8) Configuración de la partición del disco.
9) Particionamiento automático.
10) Configuración del gestor de arranque.
11) Configuración de la red.
12) Configuración del Firewall.
13) Soporte adicional para el idioma.
14) Selección del huso horario,
15) Configuración de las cuentas.
16) Estación de trabajo predeterminada.
17) Sobre la Instalación.
18) Instalando Paquetes.
19) Creación del disco de arranque.
20) Configuración de la interfaz gráfica (X)
21) Configuración del monitor
22) Personalizar la configuración gráfica
23) Finalizado la instalación de Linux Red Hat.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
4 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
1. Inicio
Figura 1.1.1: Primer pantallaza de la instalación.
La primera pantalla que nos muestra la instalación es la de Inicio, en la cual podemos seleccionar si queremos realizar la
instalación en modo texto o gráfico. Para seleccionar la instalación gráfica simplemente tenemos que pulsar la tecla Intro (Enter).
Figura 1.1.2: Segundo pantallaza de la instalación.
Si esperamos demasiado en pulsar la tecla la instalación arrancará automáticamente; pero en modo texto.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
5 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
2 - Welcome to Red Hat Linux.
Figura 1.1.3: Welcome to Red Hat Linux.
Ahora podremos comprobar el estado de los CDs de instalación. Aunque es una tarea lenta, es recomendable hacerlo la primera
vez para que no nos deje la instalación a medias. Para ello simplemente pulsaremos la tecla Espacio, si queremos saltar esta
comprobación pulsaremos F12.
3 - Welcome
Figura 1.1.4: Welcome.
Empezamos la instalación gráfica con la pantalla de bienvenida a Red Hat Linux 8. A partir de este momento ya podemos usar el
ratón. Hacemos clic en Next para empezar la instalación.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
6 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
4. Language Selection (selección de lenguaje)
Figura 1.1.5: selección de lenguaje.
La selección del idioma que se usará para la instalación. En nuestro caso seleccionamos Spanish (Español) y hacemos clic en
Next.
5. Teclado
Figura 1.1.6: Configuración Teclado.
La configuración del idioma del teclado es importante, si no lo hiciésemos no funcionarían los caracteres del castellano como la
"ñ", la "ç", o los acentos. Seleccionamos Spanish y hacemos clic en Siguiente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
7 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
6. Configuración del ratón
Figura 1.1.7: Configuración del ratón.
Ahora toca seleccionar y configurar el ratón. Por lo general el sistema selecciona automáticamente el más similar al que tenemos
instalado. Podemos probar de navegar por los diferentes tipos a ver si encontramos uno más adecuado. Una vez seleccionado
pulsamos sobre Siguiente.
7. Tipo de instalación
Figura 1.1.8: Tipo de Instalación.
En esta pantalla tendremos que seleccionar el tipo de instalación que deseamos realizar. De esta selección dependerá el uso que
le daremos al sistema operativo y los "paquetes" de utilidades que se instalarán. Marcaremos Estación de Trabajo, con esta
configuración tendremos los paquetes más comunes para trabajar, y haremos clic en Siguiente.
De todas formas más adelante podremos seleccionar o deseleccionar más componentes.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
8 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
8. Configuración de la partición del disco
Figura 1.1.9 Configuración de la partición del disco-
En este paso crearemos el sistema de archivos para nuestro nuevo sistema operativo, las particiones. La opción recomendada es
el Particionamiento Automático.
Con esta opción el sistema realizará todas las modificaciones por nosotros. En el caso de disponer de varias unidades de disco,
en la siguiente pantalla podremos seleccionar en que unidad queremos crear las particiones. Las opciones de Disk Druid y Fdisk
solo son recomendables cuando se tiene experiencia con el sistema de archivos de Linux. Por lo tanto dejaremos marcada la
opción por defecto y haremos clic en Siguiente.
9. Particionamiento automático
Es una de las fases críticas de la instalación, ya que dependerá del buen uso que hagamos de esta utilidad, el mantener o no otros
sistemas operativos que ya se encuentren instalados así como sus datos.
Disponemos de tres opciones: Eliminar todas las particiones Linux del disco duro seleccionado, Eliminar todas las particiones, o
guardar las particiones existentes y usar solo el espacio libre. La selección de una u otra opción dependerá de si deseamos
instalarlo en un único disco duro, o en un disco duro con otros sistemas operativos los cuales queremos mantener.
En el caso de disponer de un disco duro entero para Linux, seleccionaremos la segunda opción, Eliminar todas las particiones de
este sistema, marcaremos el disco duro donde queremos instalarlo, y haremos clic en Siguiente.
Si deseamos instalarlo en un disco duro con otras particiones, seleccionaremos la tercera opción, Guarde todas las particiones y
use el espacio libre existente, también debemos de marcar el disco duro correspondiente, después haremos clic en Siguiente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
9 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
10. Configuración del gestor de arranque
Figura 1.1.10: Configuración del gestor de arranque.
El gestor de arranque es la utilidad que nos ayudará a elegir entre los sistemas operativos instalados. Por defecto viene el GRUB,
mucho más atractivo y flexible que LILO, el otro gestor de arranque de Linux. También podemos ver si ha detectado otros
sistemas operativos, si los tenemos instalados, y seleccionar cual será el sistema operativo que arrancará por defecto. Lo dejamos
todo por defecto y hacemos clic en Siguiente.
11. Configuración de la red
Figura 1.1.11: Configuración de Red.
Aquí es donde especificaremos todas las opciones necesarias para nuestra red, o Router ADSL. Si tenemos una red de varios
ordenadores, tendremos que especificar los valores necesarios para que funcione; si la dirección IP se asigna manualmente o
automáticamente a través de DHCP. Para esta última opción, necesitaremos un ordenador en nuestra red que se encargue de
asignarnos una dirección IP automáticamente. Algunos Routers de ADSL tienen la opción de asignar direcciones a través de
DHCP.
Esta configuración depende de la instalación de red que tenga el usuario, por lo que no hay unos pasos fijos a seguir. Para
asignar una IP fija o dinámica simplemente tenemos que hacer clic en el botón Modificar.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
10 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
En nombre del Host, marcaremos de forma manual, y en el siguiente cuadro de texto escribiremos el nombre que deseamos para
este ordenador. Una vez realizados los cambios necesarios hacemos clic en Siguiente
Figura 1.1.11.1: Configuración de la red/ Modificar la interfaz.
12. Configuración del Firewall
Figura 1.1.12: Configuración del Firewall.
El Firewall es el software que evitará las entradas no deseadas desde Internet a nuestro equipo. El nivel de seguridad por defecto
es Intermedio. Si nuestro ordenador no está conectado directamente a Internet, podemos desactivarlo marcando la opción de
Ningún Firewall, que sería lo aconsejable si queremos que todo funcione correctamente. Si por el contrario esta conectado a
Internet directamente, dejaremos los valores por defecto y marcaremos Usar las reglas del firewall predeterminadas. Una vez
efectuadas las selecciones pulsaremos en Siguiente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
11 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
13. Soporte adicional para el idioma
Figura 1.1.13: Soporte adicional para el idioma.
Este es el idioma con el que arrancará operativo, podemos seleccionar varios y cambiar de idiomas sin necesidad de salir de
Linux. Nosotros seleccionaremos Spanish (Spain) y haremos clic en Siguiente.
14. Selección del huso horario
Figura 1.1.14: Selección de zona horaria.
Podemos seleccionar nuestra zona horaria entre las muchas que se encuentran en la lista, o seleccionarla manualmente usando
UTC. En nuestro caso seleccionamos en la lista Europa/Madrid y hacemos clic en Siguiente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
12 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
15. Configuración de las cuentas
Figura 1.1.15: Configuración de cuentas.
El usuario ―roo‖, es el administrador del sistema Linux. Lo primero que hemos de hacer es asignarle una contraseña. Una vez la
contraseña se encuentre confirmada y aceptada, procederemos a la creación de un usuario normal, esto lo haremos haciendo clic
en Añadir.
Se nos abre una ventana para definir los parámetros del nuevo usuario, entre los datos que nos solicita están: el nombre del
usuario, que es el nombre que introduciremos cada vez que queramos entrar en Linux. La contraseña y su confirmación. Y el
nombre completo, que es el nombre que aparecerá como nuestra información.
Una vez rellenados todos los datos hacemos clic en OK para aceptar el nuevo usuario. Si queremos añadir más usuarios
simplemente tenemos que repetir la operación cuantas veces deseemos. Una vez introducidos todos los usuarios hacemos clic en
Siguiente.
Figura 1.1.15.1: Configuración de cuentas.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
13 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
16. Estación de trabajo predeterminada
Figura 1.1.16: Estación de trabajo predeterminada.
Este paso es donde podemos añadir o eliminar componentes para nuestra instalación. Nosotros seleccionaremos Personalizar el
grupo de paquetes a instalar. Y haremos clic en Siguiente.
La siguiente pantalla nos mostrará los paquetes que tenemos seleccionados y los que podemos seleccionar. Como mínimo hemos
de añadir el Entorno de escritorio para KDE, esto nos brindará el escritorio KDE que es uno de los más fáciles y flexibles de
usar.
No se ha de eliminar ningún componente, ya que puede resultarnos necesario en algunas ocasiones, o ser una dependencia de
otro paquete que si deseamos instalar. En cuanto agregar nuevos grupos de paquetes podemos hacerlo según nuestras
necesidades.
Figura 1.1.16.1: Selección de grupo de paquetes.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
14 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Figura 1.1.16.2: Selección de grupo de paquetes - Detalles.
Si hacemos clic en el botón Detalles, obtendremos la lista de los paquetes individuales que forman el grupo. Al igual que con los
grupos anteriores, no es buena idea quitar ningún elemento, pero podemos agregarlos a nuestro gusto.
Una vez acabadas las selecciones hacemos clic en Siguiente.
17. Sobre la Instalación
Figura 1.1.17: Sobre la Instalación.
Ya está el sistema preparado para la instalación de paquetes, haciendo clic en Siguiente comenzará la copia de ficheros al disco
duro.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
15 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
18. Instalando paquetes
Figura 1.1.18: Instalando Paquetes.
El copiado de ficheros al disco duro puede tardar, dependiendo del equipo que dispongamos y las opciones seleccionadas, entre
30 y 90 minutos aproximadamente.
Durante la instalación propiamente dicha, se nos pedirá que insertemos el segundo y tercer CD-ROM de instalación.
19. Creación del disco de arranque
Figura 1.1.19: Creación del disco de arranque.
Este disco de arranque nos permitirá arrancar el sistema Linux si por error falla el gestor de arranque GRUB, lo borramos sin
querer, o si decidimos prescindir de él.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
16 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
20. Configuración de la interfaz gráfica (X)
Figura 1.1.20: Configuración de la Interfaz grafica (x).
Como norma, si disponemos de una tarjeta gráfica más o menos moderna, será detectada por el propio Linux. Si no encuentra
nuestra tarjeta, intentará instalar la que más se acerque a sus posibilidades. Por lo general una vez acabada la instalación será
necesario instalar los drivers de la tarjeta gráfica, si los hay disponibles para Linux, si queremos sacarle el máximo partido.
Dicha instalación se deberá hacer siguiendo las instrucciones del fabricante. En esta pantalla, si no encontramos nuestra tarjeta
gráfica en la lista dejaremos la que Linux ha elegido por nosotros y haremos clic en Siguiente.
21. Configuración del monitor
Figura 1.1.21: Configuración del monitor.
La configuración del monitor la realizaremos de la misma forma que la configuración de la interfaz gráfica. Si Linux no
encuentra un monitor que se ajuste al que tenemos, ni se encuentra uno similar en la lista, dejaremos el que Linux nos asigna por
defecto. Eso sí, en este último caso, si conocemos tanto la frecuencia horizontal, como la vertical, la pondremos en los
correspondientes cuadros de texto, y haremos clic en Siguiente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
17 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
22. Personalizar la configuración gráfica
Figura 1.1.22: Personalizar la Configuración grafica.
Ya solo nos queda decidir la profundidad de color que queremos, la resolución del escritorio y si queremos que arranque Linux
en modo gráfico o en modo texto. Lo aconsejable es seleccionar el máximo número de colores y una resolución no inferior a
1024 x 768, y por supuesto el arranque en modo gráfico. Una vez hechas las modificaciones oportunas hacemos clic en
Siguiente.
23. Enhorabuena
Figura 1.1.23: Finalizado la instalación de Linux.
Hemos finalizado la instalación de Linux, solo nos queda hacer clic en el botón Salir, para que la máquina se reinicie y podamos
disfrutar de nuestro Linux. Si hemos seguido los pasos correctamente, y no tenemos ningún problema de incompatibilidad con
nuestro hardware, Linux arrancará perfectamente.
Lo primero que nos mostrará al arrancar el ordenador es el gestor de arranque GRUB, con el cual seleccionaremos el sistema
operativo que queremos ejecutar. Una vez seleccionado Linux empezará a cargar.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
18 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Figura 1.1.23.1: Cargando Linux RedHat.
Una vez finalizada la carga, veremos la entrada a Red Hat, en donde lo primero que tendremos que hacer es introducir nuestro
nombre de usuario y darle a la tecla Intro, lo siguiente que nos solicita es la contraseña de este usuario, pero antes de dársela
vamos a seleccionar el escritorio que queremos por defecto, ya que el predeterminado es GNome y nosotros queremos arrancar
con KDE. Para ello hacemos clic en Sesión, que nos abre una ventana donde seleccionaremos KDE y OK. Una vez realizado lo
anterior ya podemos decirle la contraseña y pulsar la tecla Intro.
Figura 1.1.23.2: Cargando el pantallaza de login.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
19 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Ya estamos dentro del escritorio KDE de Linux. En este punto arranca un asistente, el cual nos ayudará a personalizar nuestro
nuevo sistema operativo. Ahora ya solo nos queda "jugar" con él y sacarle el máximo partido que podamos.
Figura 1.1.23.2: Escritorio KDE de Linux.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
20 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Instalación de Java (jdk1.3.1_03)
Hacer doble clic sobre el archivo: j2sdk-1_3_1_03-win.exe, con esto se iniciará la instalación del runtime de java.
Figura 1.2.1: instalación del runtime de java (extrayendo los archivos)
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
21 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
A continuación se encontrará con una serie de pantallas a las que deberá presionar el botón correspondiente para continuar con la
instalación.
Figura 1.2.2: Presionar el Botón Next (Siguiente)
Figura 1.2.3: Presionar el Botón Yes (Acepto)
Deberá presionar el botón correspondiente para continuar con la instalación. Ver figura 1.2.4.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
22 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Figura 1.2.4: Presionar el Botón Next (Siguiente)
Deberá seleccionar la opción de Internet Explorer o en su debido caso Netscape o sino las dos opciones si llegase a contar con
los dos navegadores instalados, luego presionar el botón Next (Siguiente) para continuar con la instalación. Ver figura 1.2.5.
Figura 1.2.5: Presionar el Botón Next (Siguiente)
Luego deberá seleccionar los componentes que desea instalar (se recomienda instalarlos todos para objeto de la aplicación
SINERGIA), luego presionar el botón Next (Siguiente) para continuar con la instalación. Ver figura 1.2.6.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
23 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Figura 1.2.6: Presionar el Botón Next (Siguiente)
Por ultimo deberá presionar el botón Finísh (Finalizar) para terminar con la instalación. Ver figura
1.2.7.
Figura 1.2.7: Presionar el Botón Finísh (Finalizar).
Una vez que se ha instalado el JDK o JRE de Java, versión 1.3.02 o superior, siguiendo las instrucciones del instalador
descargado. Esto genera la siguiente carpeta: C:\jdk1.3.1_03.
En el caso que tenga Windows 98 o inferior se debe agregar al autoexec.bat (c:\edit autoexec.bat, esto en la línea de
comando del DOS) la siguiente línea: set Path=%Path%;C:\ jdk1.3.1_03\bin, una vez que se ha agregado esta línea se
guarda el archivo y se reinicia el PC para que los cambios se efectúen.
Si tiene Windows 2000 debe agregar a las variables del sistema en la línea del path la ruta del jdk, es decir, C:\
jdk1.3.1_03\bin. Además debe agregar una nueva variable.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
24 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Instalación de MySQL en Windows. Descompacte el programa de instalación y posteriormente ejecute setup.exe para iniciar la instalación.
Después de ejecutar setup.exe aparece la ventana de instalación de MySQL. En la primera etapa se recomienda que se cierren
todos los programas en ejecución:
Figura 1.2.8: Presionar el Botón Next (Siguiente).
Cierre todas las aplicaciones en curso y presione el botón "Next".
Posteriormente se presenta la ventana de selección de directorio de instalación. Se recomienda que la instalación se realice en
una carpeta común para la aplicación y los servidores MySQL y Apache. Se recomienda la utilización de una carpeta con un
nombre de una sola palabra. Es importante tener en cuenta que la instalación no debe realizarse en carpetas que contengan
espacios (p.e. no utilizar "Archivos de Programa"). Para esta instalación se recomienda utilizar la carpeta MySQL.
Presione el botón "Browse" y a continuación especifique la ubicación de instalación en:
c:\mysql
El sistema indicará que la carpeta no existe. Acepte la creación de la carpeta seleccionando el botón "Yes".
Ver figura 1.2.9.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
25 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Figura 1.2.9: Presionar el Botón Yes (Acepto) y Next (Siguiente).
Presione el botón "Next" y a continuación seleccione el tipo de instalación "Typical".
A continuación se instalarán los componentes de la aplicación en el directorio seleccionado. Al terminar la instalación presione
el botón "Finish". MySQL quedará instalado en el sistema.
Figura 1.2.10: Presionar el Botón Next (Siguiente).
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
26 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
A continuación es necesario configurar MySQL. Entre al directorio c:\mysql\bin y ejecute winmysqladmin.exe.
Con esto el sistema preguntará los datos del administrador de MySQL (nombre -username- y contraseña -password-):
Figura 1.2.11: Ejecutando el winmysqladmin.exe
En la instalación se recomienda utilizar una contraseña que no se pueda adivinar fácilmente con el fin de garantizar la seguridad
del sistema.
Posteriormente aparecerá en la barra de tareas un semáforo que indica el estado del servidor MySQL. Inicialmente aparecerá en
rojo, lo cual indica que no se ha iniciado aún el servicio. Seleccione con el botón derecho del ratón el semáforo y seleccione
"Show me" para abrir la ventana de administrador de MySQL:
Figura 1.2.12: Botón derecho del ratón el semáforo y seleccione "Show me‖
A continuación seleccione la carpeta "my.ini Setup":
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
27 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Figura 1.2.13: seleccione la carpeta "my.ini Setup":
Aquí se mostrará las opciones actuales de configuración de MySQL. Seleccione el botón "Save Modification" para generar el
archivo MY.CNF en la carpeta donde está instalado Windows.
Figura 1.2.14: seleccione la carpeta "my.ini Setup":
De esta manera termina la instalación de MySQL para Windows.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
28 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Instalación de MySQL para Linux. La instalación a través de RPM (RPM es la sigla para El Sistema de Manejo de Paquetes de Red Hat -Red Hat Package Manager
- RPM-), es muy sencilla.
Simplemente busque en su distribución de Linux los paquetes de MySQL y ejecute la instalación con el comando rpm. En Red
Hat 7.2 los paquetes se encuentran ubicados en el CD-ROM de instalación Binarios No. 2 (CD 2 Binary CD) en el directorio
/RedHat/RPMS/
Si Usted introduce el CD-ROM en la unidad de su servidor este deberá activarse automáticamente, es decir, Usted deberá poder
acceder a su CD-ROM y a los programas de MySQL:
# cd /mnt/cdrom/RedHat/RPMS/
Instale las aplicaciones en el siguiente orden (al terminar la instalación el sistema mostrará los nombres de los paquetes):
# rpm -iv mysql-3.23.x.i386.rpm
mysql-3.23.x
# rpm -iv mysql-devel-3.23.x.i386.rpm
mysql-devel-3.23.x
# rpm -iv mysql-server-3.23.x.i386.rpm
mysql-server-3.23.x
En este momento se puede iniciar el servidor ejecutando (el servidor responderá con los textos que aparecen abajo del comando
indicando que el servidor se inició correctamente:
# /etc/rc.d/init.d/mysqld Stara
Initializing MySQL database [OK]
Starting MySQL: [OK]
Para que MySQL se ejecute cada vez que se arranque el servidor Usted puede incluir este comando en la última línea del archivo
/etc/rc.d/rc.local
O creando un enlace simbólico en el directorio /etc/rc.d/rc3.d (Para RedHat 7.2) así:
# cd /etc/rc.d/rc3.d
# ln -s /etc/rc.d/init.d/mysqld S87mysql
Con este comando MySQL se reiniciará automáticamente cada vez que se inicie el servidor.
Ahora es importante definir las claves de acceso del administrador (usuario root) para MySQL, cambiando 'nueva-clave' por la
clave que desee utilizar y 'nombre-servidor' por el nombre de su servidor. No olvide colocar las comillas ' ‗:
# mysqladmin -u root -p password 'nueva-clave'
# mysqladmin -u root -h 'nombre-servidor'-p password 'nueva-clave'
Es importante que Usted seleccione una buena clave que ojala contenga Letras, signos y números. Por ejemplo una buena clave
podría ser:
Ycm-04
Suponiendo que el servidor se llame walc, los anteriores comandos deberían teclearse como:
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
29 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
# mysqladmin -u root -p password 'Ycm-04'
El sistema responderá:
Enter password:
Simplemente de Enter.
Posteriormente teclee:
# mysqladmin -u root -h 'walc' -p password 'Ycm-04'
El sistema responderá:
Enter password:
Simplemente de Enter.
Con esto quedará instalado MySQL en su servidor.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
30 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Instalación de TOMCAT
Cómo instalar Apache + Tomcat 4.x
Puesto que con la versión 4 Tomcat ha cambiado su diseño por completo, en estas páginas puedes encontrar una guía de
instalación de Tomcat 4, su configuración para que trabaje con Apache. Todo para Linux y para Windows (si alguien se anima
para hacer el de Mac...). Si lo que quieres hacer es añadir una nueva aplicación a Tomcat, en este mismo manual tienes la guía
para hacerlo. Aunque esta basada en la versión 3.x de Tomcat, es totalmente aplicable, y solo hay que cambiar la sección de
Informando a Apache, añadiendo las líneas de nuestra aplicación que se menciona al final de esta guía (tanto en Windows como
en Linux).
Cómo instalar Apache + Tomcat 4.x en Linux
Revisión 1.1
1. Instalando el servidor Web Apache
2. Instalando Tomcat
3. Haciendo que cooperen Apache y Tomcat
4. Arrancando y reiniciando el servidor
Nota importante: al escribir la primera versión de artículo se me olvido mencionar que el módulo de conexión que se usaba en
la versión 3.x de Tomcat, mod_jk sigue funcionando con Tomcat 4.x. Debido a que lleva más tiempo funcionando, es posible
que ese modulo de menos problemas que mod_webapp, puesto que este último esta en sus primeras versiones. Puedes encontrar
información sobre como configurar el sistema con mod_jk en el siguiente artículo.
Instalando el servidor Web Apache
En primer lugar descargaremos el código fuente de Apache desde su Web, que está en
http://httpd.apache.org (en nuestro caso usaremos la versión 1.3.22 que se encuentra disponible para su descarga en
apache_1.3.22.tar.gz).
Una vez tengamos el fichero, lo descomprimiremos e iremos al directorio donde se descomprima con:
$tar xvzf apache_1.3.22.tar.gz
$cd apache_1.3.22
Para que luego podamos usar el Tomcat como un módulo de Apache, configuraremos la instalación para que se incluya el
soporte para DSO. Para ello tenemos que incluir la opción --
enable-module=so cuando ejecutemos configure, además de otros valores normales como el directorio de instalación (--
prefix=...). Nuestro directorio de instalación será
/usr/local/apache (luego referido como APACHE_HOME, por lo que cuando lo utilicemos
Más adelante tendrás que sustituirlo si no has creado una variable de entorno al respecto), por lo que recuerde cambiarlo cuando
aparezca a continuación si decide instalarlo en otro sitio:
$./configure --prefix=/usr/local/apache --enable-module=so --enablerule=
SHARED_CORE
$make
$make install
En estos momentos deberíamos tener un fichero llamado /usr/local/apache/conf/httpd.conf.
Si no es así, copie o renombre de esta manera el fichero
/usr/local/apache/conf/httpd.confdist.
Ahora, edite el fichero y compruebe que contiene un par de líneas como las siguientes:
User nobody
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
31 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Group nobody
Estos serán el grupo y el usuario con los que se ejecutará el servidor, por lo que recuerde que el usuario no body y el grupo
nobody tendrá que ser los propietarios de los directorios de nuestras páginas para que el servidor tenga permiso para acceder a
ellas.
Si quiere lanzar el servidor ejecute:
/usr/local/apache/bin/apachectl start
Recuerde que si quiere que se ejecute el servidor al reiniciar el sistema tendrá que incluir la línea anterior en sus ficheros de
inicio.
Instalando Tomcat
Vamos a descargar antes que nada el código de Tomcat que se encuentra disponible en
http://jakarta.apache.org. En este caso descargaremos los binarios, ya que al tratarse de un programa que está escrito en Java los
podremos usar en cualquier plataforma con una JVM.
La última versión estable (4.0.2) que es la que usaremos la podéis descargar directamente desde
http://jakarta.apache.org/builds/jakarta-tomcat-4.0/release/v4.0.1/bin/jakarta-tomcat-
4.0.1.tar.gz.
Ahora instalaremos Tomcat en /usr/local/jakarta-tomcat-4.0.1.
$cp jakarta-tomcat-4.0.1.tar.gz /usr/local
$tar xvzf /usr/local/jakarta-tomcat-4.0.1.tar.gz
$rm /usr/local/jakarta-tomcat-4.0.1.tar.gz
Una vez hecho esto, sólo tenemos que poner una variable llamada CATALINA_HOME en nuestro entorno y que apunte al
directorio anterior, lo que en bash (Bourne Again SHell) se hace así:
$CATALINA_HOME=/usr/local/jakarta-tomcat-4.0.1; export CATALINA_HOME
Recuerde que antes de lanzar el Tomcat debe de tener también una variable de entorno llamada JAVA_HOME que apunte al
directorio raíz de la instalación de su JVM, y que además el directorio JAVA_HOME/bin debe estar incluido en la variable de
entorno PATH.
Ahora ya podemos lanzar nuestro servidor Tomcat con el script:
/usr/local/jakarta-tomcat-4.0.1/bin/startup.sh
Y pararlo con
/usr/local/jakarta-tomcat-4.0.1/bin/shutdown.sh
Haciendo que cooperen Apache y Tomcat 4
Este es un de los aspectos que más han cambiado con la llegada de Tomcat 4, así que si usas otra versión, la 3.x no te servirá esta
explicación, aunque tienes en esta misma Web una explicación de como hacer lo mismo con versiones anteriores.
Se podría decir que ahora la configuración es más sencilla, solo hay que configurar una librería que contiene el programita que
hace de puente entre ambos, el famoso mod_webapp.
El primer paso, como siempre, es descargarse esta librería webapp-module-1.0-tc40-linuxglibc2.2.tar.gz. Lo siguiente es
descomprimirlo y copiarlo al directorio correspondiente de Apache:
$tar xvzf webapp-module-1.0-tc40-linux-glibc2.2.tar.gz
$cd webapp-module-1.0-tc40
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
32 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
$cp mod_webapp.so APACHE_HOME/libexec
Una vez copiados este archivo tenemos que retocar la configuración de Apache para que sepa que peticiones son para Tomcat.
Para esto usamos nuestro editor favorito para cambiar el fichero
APACHE_HOME/conf/httpd.conf
Buscamos la sección LoadModule y añadimos al final las siguientes lineas:
LoadModule webapp_module libexec/mod_webapp.so
AddModule mod_webapp.c
Sé que unas líneas más arriba hay una sección para los AddModule, pero si ponemos esa línea antes de cargar el módulo no nos
arrancará Apache, así que mejor dejarlas en ese orden. Y finalmente tenemos que instalar o informar a Apache de cuales son las
peticiones a pasarle a Tomcat, en este caso añadiremos la aplicación con ejemplos que viene con Tomcat. Para ello añadimos al
final del mismo fichero httpd.conf
WebAppConnection conexión warp localhost:8008 WebAppDeploy examples conexión /examples La primera línea crea una
conexión entre Apache y Tomcat a través de nuestro módulo WebApp. Los parámetros son fáciles, el primero (conexión) es el
nombre que queremos dar a esa conexión. El segundo (warp) es el encargado de indicar el tipo de conexión, pero puesto que por
ahora solo existe warp, habrá que ponerlo así. Finalmente tenemos que indicar el servidor donde esta Tomcat (localhost en mi
caso) y el puerto por el que conectar (8008). No confunda este puerto con el puerto en el que escucha el servidor Web que trae
Tomcat (Normalmente el 8080, aunque configurable). Este puerto es el que usará nuestro modulo de conexión, y su valor por
defecto es el 8008, aunque puedes cambiarlo o consultarlo en el fichero CATALINA_HOME\conf\server.xml, en la sección:
<Service name="Tomcat-Apache">
<Connector className="org.apache.catalina.connector.warp.WarpConnector"
port="8008" minProcessors="5" maxProcessors="75"
enableLookups="true"
acceptCount="10" debug="0"/>
. . .
La segunda línea de las añadidas anteriormente es la que informa a Apache de cada una de nuestras aplicaciones en Tomcat, y
habrá que añadir una por cada aplicación que tengamos, también cuando desarrollemos una nueva. El primer parámetro
(examples) será el nombre que de la URL de la aplicación (http://localhost/examples/) y que deberá ser igual al nombre de la
aplicación en Tomcat, el segundo (conexión) es el nombre de la conexión creada en la línea anterior (si queremos usar más
tendremos que jugar con la configuración de CATALINA_HOME/conf/server.xml), y por último introducimos el nombre de la
aplicación en Tomcat (/examples), que es el nombre del directorio dentro de CATALINA_HOME/webapps/ donde hemos
colocado la aplicación. Si queremos trabajar con servidores virtuales, tendremos que añadir esta línea a cada servidor virtual que
deba servir la aplicación.
Por último, y de forma opcional, si queremos podemos añadir una URL para una aplicación que nos mostrará la configuración
de el modulo de comunicación.
WebAppInfo /webapp-info
Dirigiéndonos a la URL http://host/webapp-info podremos ver dicha información.
Arrancando y reiniciando el servidor
Lo último que queda por decir para completar esta guía de instalación, es que debido a la naturaleza del modulo de conexión
entre Apache y Tomcat, la secuencia de arranque y reinicio de ambos servidores tiene que ser en el mismo orden.
Deberemos arrancar primero Tomcat y después Apache.
Para reiniciar, primero detendremos Apache, después Tomcat, y arrancaremos como antes, primero Tomcat y después Apache.
Debido a esto, para desarrollo, se recomienda que use directamente Tomcat como servidor Web, en el puerto 8080, en el 80 o en
que quiera, y solo use la combinación de ambos cuando lleve nuestra aplicación a producción.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
33 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Cómo instalar Apache + Tomcat 4.x en Windows
Revisión 1.1
1. Instalando el servidor Web Apache
2. Instalando Tomcat
3. Haciendo que cooperen Apache y Tomcat
4. Arrancando y reiniciando el servidor
Nota importante: al escribir la primera versión de artículo se me olvido mencionar que el módulo de conexión que se usaba en
la versión 3.x de Tomcat, mod_jk sigue funcionando con Tomcat 4.x. Debido a que lleva más tiempo funcionando, es posible
que ese modulo de menos problemas que mod_webapp, puesto que este último esta en sus primeras versiones. Puedes encontrar
información sobre como configurar el sistema con mod_jk en el siguiente artículo.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
34 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Instalando el servidor Web Apache
Para Windows podemos descargar directamente la última versión de Apache en formato .msi (En estos momentos está la versión
1.3.22 en apache_1.3.22-win32-x86.msi, visite
http://httpd.apache.org para ver cual es la versión más reciente). Para que Windows reconozca estos ficheros deberá tener
instalado el Windows Installer. El programa de instalación le guiará a continuación. También podemos descargar un fichero exe
auto-ejecutable, pero son 3 MB más de descarga.
Podrá bajarlo aquí apache_1.3.22-win32-x86.exe Elegido el formato que desee, como siempre en Windows, doble click y que el
haga lo que quiera ;-). Lo único que debes hacer es decir donde quieres instalarlo (ese directorio lo tiene que sustituir cuando
escribamos APACHE_HOME), el nombre que quieras dar a vuestro servidor, y poco más.
Instalando Tomcat
Vamos a descargar antes que nada el código de Tomcat 4 que se encuentra disponible en http://jakarta.apache.org. En este caso
descargaremos los binarios, ya que al tratarse de un programa que está escrito en Java los podremos usar en cualquier plataforma
con una JVM. La última versión estable (4.0.1) que es la que usaremos la podéis descargar directamente desde jakarta-tomcat-
4.0.1.tar.gz.
También puedes descargar Tomcat en otros formatos, como fichero ejecutable .exe o con formato Winzip .zip, pero puesto que
los ficheros .tar.gz son los que menos ocupan y pueden ser descomprimidos por WinZip y casi cualquier otra herramienta de
compresión, yo son los que os recomiendo. El fichero .exe hace algunas cosas más, como enlaces directos y configuración, e
incluso instalarlo como servicio si tenemos Windows NT/2000, pero bueno, si nos lo hacen todo no sabremos donde buscar
cuando halla un problema.
Ahora instalaremos Tomcat desde un fichero comprimido, para aprender las cosas manuales, utilizando WinZip (o similar) para
descomprimir el fichero descargado anteriormente. Vamos a suponer que lo descomprimimos en C:\ Ahora tenemos que poner
una variable llamada CATALINA_HOME en nuestro entorno y que apunte al directorio anterior. En Windows 95/98
añadiremos la línea siguiente al fichero
autoexec.bat:
SET CATALINA_HOME=c:\jakarta-tomcat-4.0.1
En Windows NT/2000 tendrá que hacerlo desde el diálogo Propiedades del Sistema (para abrirlo botón derecho del ratón sobre
Mi PC y Propiedades), en la sección Avanzado. Recuerde que antes de lanzar el Tomcat debe de tener también una variable de
entorno llamada JAVA_HOME que apunte al directorio raíz de la instalación de su JVM, y que además el directorio
JAVA_HOME\bin debe estar incluido en la variable de entorno PATH. Si no lo tenemos así configurado no funcionará el
arranque manual.
Ahora ya podemos lanzar nuestro servidor Tomcat con el script:
c:\jakarta-tomcat-4.0.1\bin\startup.bat
Y pararlo con:
c:\jakarta-tomcat-4.0.1\bin\shutdown.bat
Si hemos sido vagos y hemos instalado Tomcat desde el fichero ejecutable, pues podemos ejecutarlo desde el propio menú de
inicio con los accesos directos adecuados, aunque si algún día necesitamos arrancarlo manualmente tendremos que configurar
todo como se ha dicho anteriormente. De la misma forma, en Windows NT/2000 podremos ejecutarlo y detenerlo como
cualquier otro servicio.
Importante: por alguna razón, al menos en mi caso, si arranco Tomcat por medio del menú de inicio, Apache y Tomcat no se
acaban de entender, medio colgando el equipo, así que le aconsejo arrancar Tomcat manualmente, y si alguien conoce la razón
de este problema que me lo haga saber.
Haciendo que cooperen Apache y Tomcat 4
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
35 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Este es un de los aspectos que más han cambiado con la llegada de Tomcat 4, así que si usas otra versión, la 3.x no te valdrá,
aunque tienes en esta misma Web una explicación de cómo hacer lo mismo con versiones anteriores.
Se podría decir que ahora la configuración es más sencilla, solo hay que configurar una librería que contiene el programita que
hace de puente entre ambos, el famoso mod_webapp. El primer paso, como siempre, es descargarse esta librería webapp-
module-1.0-tc40-windows.zip. Al descomprimir este fichero vemos que contiene, a parte de los ficheros habituales de licencia y
demás, dos ficheros:
libapr.dll
mod_webapp.so
Lo que tenemos que hacer es copiar estos dos ficheros al directorio:
APACHE_HOME\modules
Una vez copiados estos archivos tenemos que retocar la configuración de Apache para que sepa que peticiones son para Tomcat.
Para esto editamos el fichero
APACHE_HOME\conf\httpd.conf
Buscamos la sección LoadModule y añadimos al final las siguientes líneas:
LoadModule webapp_module modules/mod_webapp.so
AddModule mod_webapp.c
Sé que unas líneas más arriba hay una sección para los AddModule, pero si ponemos esa línea antes de cargar el módulo no nos
arrancará Apache, así que mejor dejarlas en ese orden. Y finalmente tenemos que instalar o informar a Apache de cuales son las
peticiones a pasarle a Tomcat, en este caso añadiremos la aplicación con ejemplos que viene con Tomcat. Para ello añadimos al
final del mismo fichero httpd.conf
WebAppConnection conexión warp localhost:8008
WebAppDeploy examples conexión /examples
La primera línea crea una conexión entre Apache y Tomcat a través de nuestro módulo
WebApp. Los parámetros son fáciles, el primero (conexión) es el nombre que queremos dar a esa conexión. El segundo (warp)
es el encargado de indicar el tipo de conexión, pero puesto que por ahora solo existe warp, habrá que ponerlo así. Finalmente
tenemos que indicar el servidor donde esta Tomcat (localhost en mi caso) y el puerto por el que conectar (8008). No confundas
este puerto con el puerto en el que escucha el servidor Web que trae Tomcat (Normalmente el 8080, aunque configurable). Este
puerto es el que usará nuestro modulo de conexión, y su valor por defecto es el 8008, aunque puedes cambiarlo o consultarlo en
el fichero CATALINA_HOME\conf\server.xml, en la sección:
<Service name="Tomcat-Apache">
<Connector className="org.apache.catalina.connector.warp.WarpConnector"
port="8008" minProcessors="5" maxProcessors="75"
enableLookups="true"
acceptCount="10" debug="0"/>
. . .
La segunda línea de las añadidas anteriormente es la que informa a Apache de cada una de nuestras aplicaciones en Tomcat, y
habrá que añadir una por cada aplicación que tengamos, también cuando desarrollemos una nueva. El primer parámetro
(examples) será el nombre que de la URL de la aplicación (http://localhost/examples/) y que deberá ser igual al nombre de la
aplicación en Tomcat, el segundo (conexión) es el nombre de la conexión creada en la línea anterior (si queremos usar más
tendremos que jugar con la configuración de CATALINA_HOME\conf\server.xml), y por último introducimos el nombre de la
aplicación en Tomcat (/examples), que es el nombre del directorio dentro de CATALINA_HOME\webapps\ donde hemos
colocado la aplicación. Si queremos trabajar con servidores virtuales, tendremos que añadir esta línea a cada servidor virtual que
deba servir la aplicación.
Por último, y de forma opcional, si queremos podemos añadir una URL para una aplicación que nos mostrará la configuración
de el modulo de comunicación.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
36 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
WebAppInfo /webapp-info
Dirigiéndonos a la URL http://host/webapp-info podremos ver dicha información.
Arrancando y reiniciando el servidor
Lo último que queda por decir para completar esta guía de instalación, es que debido a la naturaleza del modulo de conexión
entre Apache y Tomcat, la secuencia de arranque y reinicio de ambos servidores tiene que ser en el mismo orden.
Deberemos arrancar primero Tomcat y después Apache.
Para reiniciar, primero detendremos Apache, después Tomcat, y arrancaremos como antes, primero Tomcat y después Apache.
Debido a esto, para desarrollo, recomiendo que uses directamente Tomcat como servidor Web, en el puerto 8080, en el 80 o en
que quieras, y solo uses la combinación de ambos cuando lleves nuestra aplicación a producción.
Enlaces
La página del servidor Web Apache: http://httpd.apache.org
La página de Tomcat: http://jakarta.apache.org
Distribución Java para Linux: http://www.blackdown.org
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
37 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Parte II
PLAN DE POLÍTICAS Y
DESCRIPCIONES DETALLADAS
DEL PROCESO DE SEGURIDAD
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
38 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Introducción
La falta de políticas y procedimientos en seguridad es uno de los problemas más graves que confrontan las empresas hoy día en
lo que se refiere a la protección de sus activos de información frente a peligros externos e internos.
Las políticas de seguridad son esencialmente orientaciones e instrucciones que indican cómo manejar los asuntos de seguridad y
forman la base de un plan maestro para la implantación efectiva de medidas de protección tales como: identificación y control de
acceso, respaldo de datos, planes de contingencia y detección de intrusos. Si bien las políticas varían considerablemente según el
tipo de organización de que se trate, en general incluyen declaraciones generales sobre metas, objetivos, comportamiento y
responsabilidades de los empleados en relación a las violaciones de seguridad. A menudo las políticas van acompañadas de
normas, instrucciones y procedimientos.
Las políticas son obligatorias, mientras que las recomendaciones o directrices son más bien opcionales. De hecho, las
declaraciones de políticas de seguridad pueden transformarse fácilmente en recomendaciones reemplazando la palabra "debe"
con la palabra "debería".
Por otro lado las políticas son de jerarquía superior a las normas, estándares y procedimientos que también requieren ser
acatados. Las políticas consisten de declaraciones genéricas, mientras las normas hacen referencia específica a tecnologías,
metodologías, procedimientos de implementación y otros aspectos en detalle. Además las políticas deberían durar durante
muchos años, mientras que las normas y procedimientos duran menos tiempo.
Las normas y procedimientos necesitan ser actualizadas más a menudo que las políticas porque hoy día cambian muy
rápidamente las tecnologías informáticas, las estructuras organizativas, los procesos de negocios y los procedimientos. Por
ejemplo, una norma de seguridad de cifrado podría especificar el uso del estándar DES (Data Encryption Standard). Esta norma
probablemente deberá será revisada o reemplazada en los próximos años.
Las políticas son distintas y de un nivel superior a los procedimientos, que son los pasos operacionales específicos que deben
llevarse a cabo para lograr una cierta meta. Como ejemplo, hay procedimientos específicos para realizar copias de seguridad de
la información contenida en los discos duros de los servidores.
Una declaración sobre políticas describe sólo la forma general de manejar un problema específico, pero no debe ser demasiado
detallada o extensa, en cuyo caso se convertiría en un procedimiento.
Las políticas también son diferentes de las medidas de seguridad o de los mecanismos de control. Un ejemplo de esto último
sería un sistema de cifrado para las comunicaciones o para los datos confidenciales guardados en discos y cintas. En muchos
casos las políticas definen metas u objetivos generales que luego se alcanzan por medio de medidas de seguridad.
En general, las políticas definen las áreas sobre las cuales debe enfocarse la atención en lo que concierne a la seguridad. Las
políticas podrían dictar que todo el software desarrollado o adquirido se pruebe a fondo antes de utilizarse. Se necesitará tomar
en cuenta varios detalles sobre cómo aplicar esta política. Por ejemplo, la metodología a usar para probar el software.
Un documento sobre políticas de seguridad contiene, entre muchos aspectos: definición de seguridad para los activos de
información, responsabilidades, planes de contingencia, gestión de contraseñas, sistema de control de acceso, respaldo de datos,
manejo de virus e intrusos. También puede incluir la forma de comprobar el cumplimiento y las eventuales medidas
disciplinarias.
El principio de este capitulo es el de Recomendar una política de seguridad a toda la corporación CATI como un principio
fundamental. La información es un activo muy valioso además que una responsabilidad de todos protegerla.
Una muy buena política de seguridad debe proporcionar la base a partir de la cual una empresa diseñe su sistema de seguridad.
Con lo cual garantizara que la inversión que se realice sea la más adecuada, permitiendo así cumplir no solo con los objetivos
trazados de la corporación sino también el posicionamiento dentro del país.
Este capitulo se encuentra diseñado exclusivamente para el Sistema de Información SINERGIA (Sistema de Información para la
Gestión de proyectos de CATI).
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
39 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Actividades Puntuales Sin un plan de seguridad interno para los equipos de la empresa, cualquiera de la oficina puede consultar todos los archivos que
se almacenen en ellos, incluso documentos de estrategia, archivos financieros o fichas de personal.
Seguro que no es eso lo que quiere. Y, a pesar de ello, muchos pequeños empresarios carecen de un plan de estas características
y acaban por pagar las consecuencias. Así ponen en peligro la información de su negocio pero, además, corren el riesgo de faltar
a su compromiso de confidencialidad con empleados y clientes.
Es por eso que se es necesario formalizar un plan de seguridad para PCS de una manera sencilla de entender y aplicable por parte
del personal.
A continuación explicamos cinco actuaciones básicas que se incorporan al plan de seguridad.
Cinco elementos clave para el plan de seguridad del
PC
1. Emplear protección con contraseñas
Al proteger los archivos con contraseñas, se garantiza que sólo los abran los usuarios que estén autorizados para ello. Con casi
absoluta certeza, su sistema operativo dispone de un sistema integrado de protección con contraseña y la mayoría de aplicaciones
de software, también el sistema de información SINERGIA, permite proteger los archivos y las carpetas mediante palabras
clave.
2. Elegir contraseñas imaginativas
Hay que prohibir el uso del nombre del cónyuge, del hijo o del perro, por ejemplo, como contraseñas. El motivo es que los
demás empleados los saben y no tardarían en adivinar la contraseña. Igual sucede con cumpleaños, direcciones, cantantes o
grupos preferidos u otras palabras que se asocian fácilmente al interesado. Además, recuerde que resulta más complicado
averiguar contraseñas compuestas de cifras y letras en mayúscula y minúscula o si se cambian con frecuencia. Facilite el uso de
contraseñas dando instrucciones a todo el personal sobre cómo crearlas, cuándo cambiarlas y cómo proteger archivos y carpetas.
3. Usar la función de cifrado
Una manera de proteger la información valiosa guardada en los equipos informáticos de la corporación CATI consiste en cifrar
los datos. El sistema de información SINERGIA permite el cifrado, convierte los datos en cadenas ininteligibles que se descifran
con una clave. Esto se suele emplear para estos fines: restringir el acceso a archivos confidenciales como informes financieros o
listas de clientes; salvaguardar los equipos portátiles para su uso fuera de la oficina; u ocultar mensajes confidenciales de correo
electrónico.
4. No dejar datos a la vista
Algo tan sencillo como recordar al personal que cierre los archivos en uso cuando se aleje de su mesa resulta útil para reducir los
riesgos de seguridad. Si no se toma esta precaución, la hora del almuerzo se transforma en una invitación para que cualquiera
que pase lea los archivos abiertos. Favorezca la seguridad tanto de los equipos como el del aplicativo con normas que exijan a
los empleados cerrar los documentos que no les sirvan en el momento.
5. Limitar los ataques a dispositivos portátiles
El uso de equipos portátiles aumenta la productividad pero, al mismo tiempo, amenaza la seguridad de la empresa si no se toman
las precauciones adecuadas. Avise a quienes trabajen a distancia de que no deben olvidar la seguridad fuera de la oficina; por
ejemplo, una medida sencilla sería elegir un tipo de letra pequeño cuando trabajen en papeles confidenciales en lugares públicos
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
40 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
como cafés o aviones. Si los empleados utilizan recursos tecnológicos públicos, enséñeles a asegurarse de que los documentos
permanezcan en el disco duro del portátil y no en los equipos del recurso. Asimismo, el cifrado supone una medida más de
seguridad en portátiles que se usan fuera de la oficina. Si roban un equipo pero el software de cifrado está activo, el ladrón no
podrá leer los documentos guardados en él.
POLITICAS DE SEGURIDAD
Es necesario que la institución defina políticas de seguridad, en las cuales se deben tener en cuenta que: La Seguridad debe ser
considerada desde la fase de diseño de un Sistema, como parte integral del mismo. Debe darse mayor importancia a la toma de
medidas de seguridad, teniendo siempre presente que es indispensable, no sólo para el buen funcionamiento sino también para el
mantenimiento del sistema.
Las políticas de seguridad deben ser definidas por los funcionarios de alto nivel, los cuales deben ser motivados de manera que
tengan un rol importante. Los encargados de soporte, aquellos que son responsables de gestionar la seguridad informática en la
organización, han de considerar las siguientes medidas:
Distribuir las reglas de seguridad. Escribir en una lista las reglas básicas de seguridad que los usuarios han de seguir, para
mantener la seguridad y ponerlas en un lugar público destacado. Se puede incluir un dibujo en un póster para dar mayor
referencia. Se debe considerar la posibilidad de distribuir las reglas por todas las computadoras personales.
Hacer circular regularmente avisos sobre la seguridad. Utilice ejemplos de daños y problemas procedentes de periódicos,
revistas, para ilustrar la necesidad de la vigilancia por mantener la seguridad. Intente que estos avisos sean interesantes, sin
entrar en muchos detalles, ya que en caso contrario podría inspirar imitaciones.
Establecer incentivos para la seguridad. Las personas que rompen la seguridad poseen un incentivo para hacerlo. Dé a las
personas de su organización un incentivo para mantenerla. Establezca premios para las ideas que supongan trucos de
seguridad y que apoyen las medidas de seguridad oficiales. Haga que los responsables ofrezcan recompensas sustanciosas a
los ganadores
Establezca una línea de comunicación sobre seguridad. El personal debe conocer dónde puede obtener consejos sobre los
temas de seguridad. También deben de poder informar sobre violaciones de la seguridad o actividades sospechosas de
forma anónima. Por otro lado, ofrezca recompensas por informar de las violaciones de seguridad.
Las normas de seguridad también describen el modo de funcionamiento de los dispositivos de seguridad y su administración. Por
ejemplo, supongamos un dispositivo simple de bloqueo de teclado. En las normas de seguridad se podría indicar:
Todos los usuarios bloquearán su teclado cada vez que dejen sin atención su sistema. Pero esto no es suficiente. Debe estar
reglamentado quién ha de disponer de la llave principal y quién ha de controlar las copias.
Responsables de la Seguridad
Como las normas de personal o de contratación, las normas o política de seguridad constituyen un documento fundamental para
una empresa que se apoye en computadoras. En este documento se ha de fijar la responsabilidad de cada nivel dentro de la
organización respecto a las medidas de seguridad.
Definición de responsabilidades para la Seguridad de Datos, Sistemas y Programas
Las responsabilidades específicas para la protección de los datos, sistemas, programas, unidades de equipo, etc. deben ser
firmemente mantenidos si se desea una seguridad adecuada.
En general, la persona con el control físico en un activo (datos, sistemas y programas), debe ser el responsable inmediato de su
protección. En el caso de datos del Centro de Procesamiento de Datos, esta persona es el Jefe de dicho Centro.
Los Auditores internos y el personal de seguridad deben revisar que se les dé una adecuada protección a los datos. Debido a
que ellos no tienen control físico sobre éste, no pueden tener la responsabilidad principal de su cuidado, pero sí del
cumplimiento de las normas y procedimientos de seguridad.
Hasta el grado permitido por el tamaño de sus operaciones, la responsabilidad de escribir, procesar o autorizar un programa,
trabajo o específicamente un cambio, debe ser asignado a diferentes personas. La separación efectiva de funciones sensitivas
relacionadas, ayudará a reducir los errores y el riesgo de actos no autorizados cometidos deliberadamente por el personal de
Procesamiento de Datos.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
41 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Las normas se han de trasladar en la jerarquía para que las personas clave, implementen las medidas de seguridad dadas y
ejecuten las acciones adicionales necesarias. Por ejemplo:
Cualquiera que utilice una computadora personal deberá grabar su trabajo y desconectar la computadora, siempre que la deje
de usar.
El responsable del servicio de informática realizará comprobaciones puntuales para asegurar que las copias de seguridad se
realizan según el plan aprobado.
Cuando se elabora la política de seguridad, también se debe tener muy en cuenta:
Adoctrinar al personal de procesamiento de datos en la importancia de la seguridad y la responsabilidad de cada uno en
su mantenimiento.
Es necesario que el personal de Procesamiento de Datos esté enterado de cómo afecta su rol clave, en cada una de las áreas
que soporta. Esto puede ayudarlos a entender la magnitud de los problemas que pueden crear, si no están continuamente
alertas a la necesidad de proteger los datos encargados a ellos.
Cuando la gente de Procesamiento de Datos esté consciente de la importancia de sus actividades, la organización entera puede
beneficiarse.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
42 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Actividades Continuas Justificación
Los activos de información y los equipos informáticos son recursos importantes y vitales de nuestra Compañía. Sin ellos nos
quedaríamos rápidamente fuera del negocio y por tal razón la Presidencia y la Junta Directiva tienen el deber de preservarlos,
utilizarlos y mejorarlos. Esto significa que se deben tomar las acciones apropiadas para asegurar que la información y los
sistemas informáticos estén apropiadamente protegidos de muchas clases de amenazas y de riesgos tales como el fraude, un
sabotaje, espionaje industrial, extorsión, violación de la privacidad, intrusos, hackers, interrupción de servicio, accidentes y
desastres naturales, etc.
La información perteneciente a la Corporación CATI debe protegerse de acuerdo a su valor e importancia. Deben emplearse
medidas de seguridad sin importar cómo la información se guarda (en papel o en forma electrónica), o como se procesa (PCs,
servidores, correo de voz, etc.), o cómo se transmite (correo electrónico, conversación telefónica). Tal protección incluye
restricciones de acceso a los usuarios de acuerdo a su cargo.
Las distintas direcciones de la Corporación CATI están en el deber y en la responsabilidad de consagrar tiempo y recursos
suficientes para asegurar que los activos de información estén suficientemente protegidos. Cuando ocurra un incidente grave que
refleje alguna debilidad en los sistemas informáticos, se deberán tomar las acciones correctivas rápidamente para así reducir los
riesgos. En todo caso cada año el Comité de Seguridad Informática llevará a cabo un análisis de riesgos y se revisarán las
políticas de seguridad. Así mismo, se preparará cada año un informe para la Junta Directiva que muestre el estado actual de la
Corporación en cuanto a seguridad informática y los progresos que se han logrado.
A todos los empleados, consultores y contratistas debe proporcionárseles adiestramiento, información, y advertencias para que
ellos puedan proteger y manejar apropiadamente los recursos informáticos de la Corporación. Debe hacerse hincapié en que la
seguridad informática es una actividad tan vital para la Corporación como lo son la contabilidad y la nómina.
La finalidad de las políticas de seguridad que se describen más adelante es proporcionar instrucciones específicas sobre cómo
mantener más seguros tanto los computadores de la Corporación (conectados o no en red), como la información guardada en
ellos. La violación de dichas políticas puede acarrear medidas disciplinarias e incluso el despido.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
43 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Responsabilidades
Los siguientes sujetos son responsables, en distintos grados, de la seguridad en la Compañía:
El Comité de Seguridad Informática
Está compuesto por los representantes de los distintos departamentos de la Corporación, así como por el Gerente de Informática,
el Gerente de Telecomunicaciones (cuando exista), y el abogado o representante legal de la Corporación. Este Comité está
encargado de elaborar y actualizar las políticas, normas, pautas y procedimientos relativos a seguridad en informática y
telecomunicaciones. También es responsable de coordinar el análisis de riesgos, planes de contingencia y prevención de
desastres. Durante sus reuniones trimestrales o ad hoc, el Comité efectuará la evaluación y revisión de la situación de la
Corporación en cuanto a seguridad informática, incluyendo el análisis de incidentes ocurridos y que afecten la seguridad.
La Gerencia de Informática
Es responsable de implantar y velar por el cumplimento de las políticas, normas, pautas, y procedimientos de seguridad a lo
largo de toda la organización, todo esto en coordinación con la Junta Directiva y la Gerencia de Telecomunicaciones (cuando
exista). También es responsable de evaluar, adquirir e implantar productos de seguridad informática, y realizar las demás
actividades necesarias para garantizar un ambiente informático seguro. Además debe ocuparse de proporcionar apoyo técnico y
administrativo en todos los asuntos relacionados con la seguridad, y en particular en los casos de infección de virus, penetración
de hackers, fraudes y otros percances.
El Jefe de Seguridad
Es responsable de dirigir las investigaciones sobre incidentes y problemas relacionados con la seguridad, así como recomendar
las medidas pertinentes.
El Administrador de Sistemas
Es responsable de establecer los controles de acceso apropiados para cada usuario, supervisar el uso de los recursos informáticos,
revisar las bitácoras de acceso y de llevar a cabo las tareas de seguridad relativas a los sistemas que administra, como por
ejemplo, aplicar inmediatamente los parches correctivos cuando le llegue la notificación del fabricante del producto o de un ente
como el CERT (Computer Emergency Response Team). El Administrador de Sistemas también es responsable de informar al
Jefe de Seguridad y a sus superiores sobre toda actividad sospechosa o evento insólito. Cuando no exista un Jefe de Seguridad, el
Administrador de Sistemas realizará sus funciones.
Los usuarios
Son responsables de cumplir con todas las políticas de la organización relativas a la seguridad informática y en particular:
Conocer y aplicar las políticas y procedimientos apropiados en relación al manejo de la información y de los sistemas
informáticos.
No divulgar información confidencial de la organización a personas no autorizadas.
No permitir y no facilitar el uso de los sistemas informáticos de la organización a personas no autorizadas.
No utilizar los recursos informáticos (hardware, software o datos) y de telecomunicaciones (teléfono, fax) para otras
actividades que no estén directamente relacionadas con el trabajo en la organización.
Proteger meticulosamente su contraseña y evitar que sea vista por otros en forma inadvertida.
Seleccionar una contraseña robusta que no tenga relación obvia con el usuario, sus familiares, el grupo de trabajo, y otras
asociaciones parecidas.
Reportar inmediatamente a su jefe inmediato a un funcionario de Seguridad Informática cualquier evento que pueda
comprometer la seguridad de la organización y sus recursos informáticos, como por ejemplo contagio de virus, intrusos,
modificación o pérdida de datos y otras actividades poco usuales.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
44 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Políticas de seguridad para computadores
Los computadores de la organización sólo deben usarse en un ambiente seguro. Se considera que un ambiente es seguro
cuando se han implantado las medidas de control apropiadas para proteger el software, el hardware y los datos. Esas medidas
deben estar acorde a la importancia de los datos y la naturaleza de riesgos previsibles.
Los equipos de la organización sólo deben usarse para actividades de trabajo y no para otros fines, tales como juegos y
pasatiempos.
Debe respetarse y no modificar la configuración de hardware y software establecida por el Departamento de Informática.
No se permite fumar, comer o beber mientras se está usando un PC.
Deben protegerse los equipos de riesgos del medioambiente (por ejemplo, polvo, incendio y agua).
Deben usarse protectores contra transitorios de energía eléctrica y en los servidores deben usarse fuentes de poder
ininterrumpibles (UPS).
Cualquier falla en los computadores o en la red debe reportarse inmediatamente ya que podría causar problemas serios como
pérdida de la información o indisponibilidad de los servicios.
Deben protegerse los equipos para disminuir el riesgo de robo, destrucción, y mal uso. Las medidas que se recomiendan
incluyen el uso de vigilantes y cerradura con llave.
Los equipos deben marcarse para su identificación y control de inventario. Los registros de inventario deben mantenerse
actualizados.
No pueden moverse los equipos o reubicarlos sin permiso. Para llevar un equipo fuera de la organización se requiere una
autorización firmada y escrita por el director ejecutivo.
La pérdida o robo de cualquier componente de hardware o programa de software debe ser reportada inmediatamente.
Para prevenir el acceso no autorizado, los usuarios deben usar un sistema de contraseñas robusto y además deben configurar el
protector de pantalla para que se active al cabo de 15 minutos de inactividad y que requiera una contraseña al reasumir la
actividad. Además el usuario debe activar el protector de pantalla manualmente cada vez que se ausente de su oficina.
Si un PCs tiene acceso a datos confidenciales, debe poseer un mecanismo de control de acceso especial, preferiblemente por
hardware.
Los datos confidenciales que aparezcan en la pantalla deben protegerse de ser vistos por otras personas mediante disposición
apropiada del mobiliario de la oficina y protector de pantalla. Cuando ya no se necesiten o no sean de utilidad, los datos
confidenciales se deben borrar.
Debe implantarse un sistema de autorización y control de acceso con el fin de restringir la posibilidad de los usuarios para
leer, escribir, modificar, crear, o borrar datos importantes. Estos privilegios deben definirse de una manera consistente con las
funciones que desempeña cada usuario.
No está permitido llevar al sitio de trabajo computadores portátiles (laptops) y en caso de ser necesario se requiere solicitar la
autorización correspondiente.
Para prevenir la intrusión de hackers a través de puertas traseras, no está permitido el uso de módems en PCs que tengan
también conexión a la red local (LAN), a menos que sea debidamente autorizado. Todas las comunicaciones de datos deben
efectuarse a través de la LAN de la Corporación CATI.
A menos que se indique lo contrario, los usuarios deben asumir que todo el software la organización está protegido por
derechos de autor y requiere licencia de uso. Por tal razón es ilegal y está terminantemente prohibido hacer copias o usar ese
software para fines personales.
Los usuarios no deben copiar a un medio removible (como un diskette), el software o los datos residentes en las computadoras
de la Corporación CATI, sin la aprobación previa del director ejecutivo.
No pueden extraerse datos fuera de la sede de la Corporación CATI sin la aprobación previa de la gerencia. Esta política es
particularmente pertinente a aquellos que usan a computadoras portátiles o están conectados a redes como Internet.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
45 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Debe instalarse y activarse una herramienta antivirus, la cual debe mantenerse actualizada. Si se detecta la presencia de un
virus u otro agente potencialmente peligroso, se debe notificar inmediatamente al Jefe de Seguridad Informática y poner la PC
en cuarentena hasta que el problema sea resuelto.
Sólo pueden bajarse archivos de redes externas de acuerdo a los procedimientos establecidos. Debe utilizarse un programa
antivirus para examinar todo software que venga de afuera o inclusive de otros departamentos de la Corporación CATI.
No debe utilizarse software bajado de Internet y en general software que provenga de una fuente no confiable, a menos que se
haya sido comprobado en forma rigurosa y que esté aprobado su uso por el Departamento de Informática.
Para prevenir demandas legales o la introducción de virus informáticos, se prohíbe estrictamente la instalación de software no
autorizado, incluyendo el que haya sido adquirido por el propio usuario. Así mismo, no se permite el uso de software de
distribución gratuita o shareware, a menos que haya sido previamente aprobado por el Departamento de Informática.
Para ayudar a restaurar los programas originales no dañados o infectados, deben hacerse copias de todo software nuevo antes
de su uso, y deben guardarse tales copias en un lugar seguro.
No deben usarse diskettes u otros medios de almacenamiento en cualquier computadora de la Corporación CATI a menos que
se haya previamente verificado que están libres de virus u otros agentes dañinos.
Periódicamente debe hacerse el respaldo de los datos guardados en PCs y servidores y las copias de respaldo deben guardarse
en un lugar seguro, a prueba de hurto, incendio e inundaciones. Los programas y datos vitales para la operación de la
corporación CATI debe guardarse en otra sede, lejos del edificio.
Los usuarios de PCs son responsables de proteger los programas y datos contra pérdida o daño. Para sistemas multiusuario y
sistemas de comunicaciones, el Administrador de cada uno de esos sistemas es responsable de hacer copias de respaldo
periódicas. Los gerentes de los distintos departamentos son responsables de definir qué información debe respaldarse, así
como la frecuencia del respaldo (por ejemplo: diario, semanal) y el método de respaldo (por ejemplo: incremental, total).
La información de la Corporación CATI clasificada como confidencial o de uso restringido, debe guardarse y transmitirse en
forma cifrada, utilizando herramientas de encriptado robustas y que hayan sido aprobadas por la Gerencia de Informática.
No debe borrarse la información original no cifrada hasta que se haya comprobado que se puede recuperar desde los archivos
encriptados mediante el proceso de descifrado.
El acceso a las claves utilizadas para el cifrado y descifrado debe limitarse estrictamente a las personas autorizadas y en
ningún caso deben revelarse a consultores, contratistas y personal temporal.
Siempre que sea posible, deba eliminarse información confidencial de los computadores y unidades de disco duro antes de que
les mande a reparar. Si esto no es posible, se debe asegurar que la reparación sea efectuada por empresas responsables, con las
cuales se haya firmado un contrato de confidencialidad. Alternativamente, debe efectuarse la reparación bajo la supervisión de
una representante de la Corporación CATI.
No deben salirse las impresoras desatendidas, sobre todo si se está imprimiendo (o se va a imprimir) información confidencial
de la Corporación CATI.
El personal que utiliza un computador portátil que contenga información confidencial de la Compañía, no debe dejarla
desatendida, sobre todo cuando esté de viaje, y además esa información debe estar cifrada.
Políticas de seguridad para las comunicaciones
Propiedad de la información
Con el fin de mejorar la productividad, la Compañía promueve el uso responsable de las comunicaciones en forma electrónica,
en particular el teléfono, el correo de voz, el correo electrónico, y el fax. Los sistemas de comunicación y los mensajes generados
y procesados por tales sistemas, incluyendo las copias de respaldo, se deben considerar como propiedad de la Compañía y no
propiedad de los usuarios de los servicios de comunicación.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
46 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Uso de los sistemas de comunicación
Los sistemas de comunicación de la Compañía generalmente sólo deben usarse para actividades de trabajo. El uso
personal en forma ocasional es permisible siempre y cuando consuma una cantidad mínima de tiempo y recursos, y
además no interfiera con la productividad del empleado ni con las actividades de la Corporación CATI.
Se prohíbe el uso de los sistemas de comunicación para actividades comerciales privadas o para propósitos de
entretenimiento y diversión.
La navegación en Internet para fines personales no debe hacerse a expensas del tiempo y los recursos de la Compañía y
en tal sentido deben usarse las horas no laborables.
Confidencialidad y privacidad
Los recursos, servicios y conectividad disponibles vía Internet abren nuevas oportunidades, pero también introducen
nuevos riesgos. En particular, no debe enviarse a través de Internet mensajes con información confidencial a menos que
estén cifradas. Para tal fin debe utilizarse PGP (Pretty Good Privacy), Outlook, Outlook Express u otros productos
previamente aprobados por la Gerencia de Informática.
Los empleados y funcionarios de la Corporación CATI no deben interceptar las comunicaciones o divulgar su contenido.
Tampoco deben ayudar a otros para que lo hagan. La Corporación CATI se compromete a respetar los derechos de sus
empleados, incluyendo su privacidad. También se hace responsable del buen funcionamiento y del buen uso de sus redes
de comunicación y para lograr esto, ocasionalmente es necesario interceptar ciertas comunicaciones.
Es política de la Corporación CATI no monitorear regularmente las comunicaciones. Sin embargo, el uso y el contenido
de las comunicaciones pueden ocasionalmente ser supervisado en caso de ser necesario para actividades de
mantenimiento, seguridad o auditoria. Puede ocurrir que el personal técnico vea el contenido de un mensaje de un
empleado individual durante el curso de resolución de un problema.
De manera consistente con prácticas generalmente aceptadas, la Corporación CATI procesa datos estadísticos sobre el
uso de los sistemas de comunicación. Como ejemplo, los reportes de la central telefónica (PABX) contienen detalles
sobre el número llamado, la duración de la llamada, y la hora en que se efectuó la llamada.
Reenvío de mensajes
Tomando en cuenta que cierta información está dirigida a personas específicas y puede no ser apta para otros, dentro y
fuera de la Compañía, se debe ejercer cierta cautela al remitir los mensajes. En todo caso no debe remitirse información
confidencial de la Compañía sin la debida aprobación.
Borrado de mensajes
Los mensajes que ya no se necesitan deben ser eliminados periódicamente de su área de almacenamiento. Con esto se
reducen los riesgos de que otros puedan acceder a esa información y además se libera espacio en disco.
Políticas de seguridad para redes Propósito
El propósito de esta política es establecer las directrices, los procedimientos y los requisitos para asegurar la protección
apropiada de la Corporación CATI al estar conectada a redes de computadoras.
Alcance
Esta política se aplica a todos los empleados, contratistas, consultores y personal temporal de la Corporación CATI.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
47 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Aspectos generales
Es política de la Corporación CATI prohibir la divulgación, duplicación, modificación, destrucción, pérdida, mal uso, robo y
acceso no autorizado de información propietaria. Además, es su política proteger la información que pertenece a otras empresas
o personas y que le haya sido confiada.
Modificaciones
Todos los cambios en la central telefónica (PABX) y en los servidores y equipos de red de la Compañía, incluyendo la
instalación de el nuevo software, el cambio de direcciones IP, la reconfiguración de routers y switchs, deben ser documentados y
debidamente aprobados, excepto si se trata de una situación de emergencia. Todo esto es para evitar problemas por cambios
apresurados y que puedan causar interrupción de las comunicaciones, caída de la red, denegación de servicio o acceso
inadvertido a información confidencial.
Cuentas de los usuarios
Cuando un usuario recibe una nueva cuenta, debe firmar un documento donde declara conocer las políticas y
procedimientos de seguridad, y acepta sus responsabilidades con relación al uso de esa cuenta.
La solicitud de una nueva cuenta o el cambio de privilegios deben ser hechos por escrito y debe ser debidamente
aprobada.
No debe concederse una cuenta a personas que no sean empleados de la Compañía a menos que estén debidamente
autorizados, en cuyo caso la cuenta debe expirar automáticamente al cabo de un lapso de 30 días.
Privilegios especiales, tal como la posibilidad de modificar o barrar los archivos de otros usuarios, sólo deben otorgarse a
aquellos directamente responsable de la administración o de la seguridad de los sistemas.
No deben otorgarse cuentas a técnicos de mantenimiento ni permitir su acceso remoto a menos que el Administrador de
Sistemas o el Gerente de Informática determinen que es necesario. En todo caso esta facilidad sólo debe habilitarse para
el periodo de tiempo requerido para efectuar el trabajo (como por ejemplo, el mantenimiento remoto). Si hace falta una
conexión remota durante un periodo más largo, entonces se debe usar un sistema de autenticación más robusto basado
contraseñas dinámicas, fichas (tokens) o tarjetas inteligentes.
Se prohíbe el uso de cuentas anónimas o de invitado (guest) y los usuarios deben entrar al sistema mediante cuentas que
indiquen claramente su identidad. Esto también implica que los administradores de sistemas Unix no deben entrar
inicialmente como "root", sino primero empleando su propio ID y luego mediante "set userid" para obtener el acceso
como "root". En cualquier caso debe registrarse en la bitácora todos los cambios de ID.
Toda cuenta queda automáticamente suspendida después de un cierto periodo de inactividad. El periodo recomendado es
de 30 días.
Los privilegios del sistema concedidos a los usuarios deben ser ratificados cada 6 meses. El Administrador de Sistemas
debe revocar rápidamente la cuenta o los privilegios de un usuario cuando reciba una orden de un superior, y en particular
cuando un empleado cesa en sus funciones.
Cuando un empleado es despedido o renuncia a la Corporación CATI, debe desactivarse su cuenta antes de que deje el
cargo.
Contraseñas y el control de acceso
El usuario no debe guardar su contraseña en una forma legible en archivos en disco, y tampoco debe escribirla en papel y
dejarla en sitios donde pueda ser encontrada. Si hay razón para creer que una contraseña ha sido comprometida, debe
cambiarla inmediatamente. No deben usarse contraseñas que son idénticas o substancialmente similares a contraseñas
previamente empleadas. Siempre que posible, debe impedirse que los usuarios vuelvan a usar contraseñas anteriores.
Nunca debe compartirse la contraseña o revelarla a otros. El hacerlo expone al usuario a las consecuencias por las
acciones que los otros hagan con esa contraseña.
Está prohibido el uso de contraseñas de grupo para facilitar el acceso a archivos, aplicaciones, bases de datos,
computadoras, redes, y otros recursos del sistema. Esto se aplica en particular a la contraseña del administrador.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
48 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
La contraseña inicial emitida a un nuevo usuario sólo debe ser válida para la primera sesión. En ese momento, el usuario
debe escoger otra contraseña.
Las contraseñas predefinidas que traen los equipos nuevos tales como routers, switchs, etc., deben cambiarse
inmediatamente al ponerse en servicio el equipo.
Para prevenir ataques, cuando el software del sistema lo permita, debe limitarse a 3 el número de consecutivos de intentos
infructuosos de introducir la contraseña, luego de lo cual la cuenta involucrada queda suspendida y se alerta al
Administrador del sistema. Si se trata de acceso remoto vía módem por discado, la sesión debe ser inmediatamente
desconectada.
Para el acceso remoto a los recursos informáticos de la Corporación CATI, la combinación del ID de usuario y una
contraseña fija no proporciona suficiente seguridad, por lo que se recomienda el uso de un sistema de autenticación más
robusto basado en contraseñas dinámicas, fichas (tokens) o tarjetas inteligentes.
Si no ha habido ninguna actividad en un Terminal, PC o estación de trabajo durante un cierto periodo de tiempo, el
sistema debe automáticamente borrar la pantalla y suspender la sesión. El periodo recomendado de tiempo es de 15
minutos. El re-establecimiento de la sesión requiere que el usuario proporcione se autentique mediante su contraseña (o
utilice otro mecanismo, por ejemplo, tarjeta inteligente o de proximidad).
Si el sistema de control de acceso no está funcionando propiamente, debe rechazar el acceso de los usuarios hasta que el
problema se haya solucionado.
Los usuarios no deben intentar violar los sistemas de seguridad y de control de acceso. Acciones de esta naturaleza se
consideran violatorias de las políticas de la Corporación CATI, pudiendo ser causal de despido.
Para tener evidencias en casos de acciones disciplinarias y judiciales, cierta clase de información debe capturarse,
grabarse y guardarse cuando se sospeche que se esté llevando a cabo abuso, fraude u otro crimen que involucre los
sistemas informáticos.
Los archivos de bitácora (logs) y los registros de auditoria (audit trails) que graban los eventos relevantes sobre la
seguridad de los sistemas informáticos y las comunicaciones, deben revisarse periódicamente y guardarse durante un
tiempo prudencial de por lo menos tres meses. Dicho archivos son importantes para la detección de intrusos, brechas en
la seguridad, investigaciones, y otras actividades de auditoria. Por tal razón deben protegerse para que nadie los pueda
alterar y que sólo los pueden leer las personas autorizadas.
Los servidores de red y los equipos de comunicación (PABX, routers, etc.) deben estar ubicados en locales apropiados,
protegidos contra daños y robo. Debe restringirse severamente el acceso a estos locales y a los cuartos de cableado a
personas no autorizadas mediante el uso de cerraduras y otros sistemas de acceso (por ejemplo, tarjetas de proximidad).
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
49 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Seguridad de la información
La seguridad de la información y por consiguiente de los equipos informáticos, es una cuestión que llega a afectar, incluso, a la
vida privada de la persona humana, de ahí que resulte obvio el interés creciente que día a día se evidencia sobre este aspecto de
la nueva sociedad informática.
Ladrones, manipuladores, saboteadores, espías, etc. reconocen que el centro de cómputo de una institución es su nervio central,
que normalmente tiene información confidencial y que, a menudo, es vulnerable a cualquier ataque.
La seguridad de la información tiene dos aspectos:
El primero consiste en negar el acceso a los datos a aquellas personas que no tengan derecho a ellos, al cual también se le
puede llamar protección de la privacidad, si se trata de datos personales, y mantenimiento de la seguridad en el caso de
datos institucionales.
Un segundo aspecto de la protección es garantizar el acceso a todos los datos importantes a las personas que ejercen
adecuadamente su privilegio de acceso, las cuales tienen la responsabilidad de proteger los datos que se les ha confiado.
En general, la protección de los datos requiere ejercer un control sobre la lectura, escritura y empleo de esa información. Para
obtener mayor eficiencia en la protección se debe tener siempre presente la protección de los datos, el mantenimiento de la
privacidad y la seguridad del secreto.
El secreto se logra cuando no existe acceso a todos los datos sin autorización. La privacidad adecuada puede lograrse cuando los
datos que puedan obtenerse no pueden enlazarse a individuos específicos o no pueden utilizarse para imputar hechos acerca de
ellos.
Acceso no Autorizado
Sin adecuadas medidas de seguridad se puede producir accesos no autorizados a:
Área de Sistemas.
Computadoras personales y/o Terminales de la red.
Información Confidencial.
La clasificación es el paso de la gestión de cambios en el cual usted determina la prioridad de un lanzamiento y su planificación
resultante.
La tabla siguiente ofrece algunas directrices para priorizar varios lanzamientos de seguridad.
Tabla 4.4.1: Directrices Temporales para la Implantación de un Lanzamiento de Seguridad
Prioridad Plazo Recomendado Plazo Mínimo Recomendado
1 Dentro de 24 horas Dentro de 2 semanas
2 Dentro de 1 mes Dentro de 2 meses
3 Dependiendo de la disponibilidad, implante un nuevo service
pack o rollup de actualizaciones que incluye la reparación
para esta vulnerabilidad dentro de 4 meses.
Implante la actualización de software
dentro de 6 meses
4 Dependiendo de la disponibilidad, implante un nuevo service
pack o rollup de actualizaciones que incluye la reparación
para esta vulnerabilidad dentro de 1 año.
Implante la actualización dentro de
un año; también puede decidir no
implantarla.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
50 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Al evaluar la gravedad de las vulnerabilidades descritas en los boletines de seguridad que son lanzados diariamente en Internet,
en un esfuerzo por ayudar a los clientes a decidir qué parches aplicar para evitar el impacto en sus circunstancias particulares y
con qué rapidez deben actuar.
Un mecanismo simple para determinar la propiedad implica traducir el nivel de gravedad de la vulnerabilidad a un nivel de
prioridad inicial para un lanzamiento de seguridad (Tabla 4.4.2) y, a continuación, incrementar o disminuir el nivel de prioridad
en función de las necesidades de corporación y los aspectos únicos de su entorno (Tabla 4.4.3).
Tabla 4.4.2: Determinación de la Prioridad Inicial
Nivel de Gravedad de la
Vulnerabilidad
Prioridad
Inicial
Crítica 1
Importante 2
Moderada 3
Baja 4
Tabla 4.4.3: Factores que Pueden Influir en la Prioridad del Lanzamiento
Factor del Entorno o de la Empresa Posible Ajuste de la
Prioridad
Activos en peligro de alto valor o muy expuestos Elevar
Activos que son un objetivo histórico de los atacantes Elevar
Existencia de factores mitigantes, como contramedidas para minimizar la
amenaza
Disminuir
Activos en peligro de escaso valor o poco expuestos Disminuir
Para facilitar el impacto sobre los recursos que realizan la gestión del lanzamiento se pueden combinar
múltiples cambios de seguridad para la misma categoría de activo en un solo lanzamiento. Esto es lo más
apropiado para las prioridades 2, 3 y 4, como se muestra en la Tabla 4.4.1.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
51 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Gestión del Lanzamiento La gestión del lanzamiento es el proceso de planificación, prueba y ejecución de los cambios en su entorno. Su objetivo es
asegurar que todos los cambios se implantan correctamente en la producción del modo menos molesto posible. Las siguientes
secciones describen elementos a tener en cuenta durante las distintas fases de la gestión del lanzamiento que le ayudarán a
definir el proceso adecuado para implantar parches con eficacia.
Planificar el Lanzamiento
Durante la fase de planificación del lanzamiento, necesita definir los detalles de la implantación basándose en la criticidad del
lanzamiento respecto a su entorno. La planificación eficaz del lanzamiento requiere que usted determine los siguientes aspectos:
Alcance del lanzamiento. ¿Qué ordenadores de su entorno necesitan la actualización de software? ¿Está actualizada la
información del inventario de su entorno? Determinar con exactitud qué ordenadores necesitan un lanzamiento concreto
contribuye a una implantación lo más eficaz posible.
Orden de lanzamiento para múltiples actualizaciones de software. ¿Qué dependencias tienen las actualizaciones
aprobadas? ¿Cuáles requieren el reinicio del sistema? ¿Pueden combinarse varias actualizaciones? Responder a estas
preguntas puede ayudarle a minimizar el impacto de un lanzamiento sobre su entorno, garantizando que las actualizaciones
de software se instalan correctamente y limitando el tiempo de inactividad del sistema provocado por reinicios innecesarios.
Restauración. ¿Puede desinstalarse el lanzamiento? ¿Es necesario disponer de algún mecanismo en caso de que un
ordenador deje de responder tras la implantación de un parche? ¿Se han establecido los mecanismos de copia de seguridad y
restauración adecuados? Entender los requisitos para devolver los ordenadores a su estado original en el improbable caso de
que una implantación afecte negativamente a su entorno es un aspecto importante de la gestión del lanzamiento.
Planificar la implantación del lanzamiento. ¿El lanzamiento requiere ser desplegado inmediatamente? ¿Puede llevarse a
la producción por fases? Es más que probable que no todos los ordenadores de su entorno necesiten una actualización
inmediatamente. Una vez más, responder a estas preguntas le ayudará a minimizar el tiempo de inactividad innecesario que
podría afectar negativamente a su entorno.
Definir los requisitos de formación y de comunicación del usuario final. ¿Qué debe comunicarse a los usuarios finales y
cuándo? Comunicar a los usuarios finales la gravedad, urgencia y posibles efectos negativos de la implantación le ayudará a
limitar los efectos adversos de la implantación sobre su entorno. Para asegurarse de que los usuarios finales entienden la
importancia de un lanzamiento, debe usar múltiples mecanismos de comunicación para informarles de las actualizaciones de
software que hay que implantar inmediatamente. Los mecanismos de comunicación sugeridos incluyen la difusión por
mensajes de voz o correos electrónicos de alta prioridad enviados por una fuente interna fiable.
Desarrollo del Lanzamiento
Con un plan de lanzamiento en marcha, oriente sus esfuerzos a identificar y desarrollar el mecanismo de lanzamiento que se usa
para implantar los parches en la producción. Un mecanismo de lanzamiento consta de los procesos, herramientas y tecnologías
necesarios para completar la implantación. Durante este proceso, usted selecciona el mecanismo de lanzamiento y diseña,
desarrolla y prueba el mecanismo, la instalación del lanzamiento y los resultados de la implantación del lanzamiento.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
52 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
El mecanismo de lanzamiento que usted elija puede verse muy influido por la prioridad asignada a un parche durante el proceso
de clasificación. Los lanzamientos que necesiten implantarse rápidamente pueden requerir múltiples mecanismos de lanzamiento
para garantizar la implantación.
Las siguientes consideraciones sobre el lanzamiento le ayudarán a seleccionar el mecanismo de lanzamiento adecuado. El
mecanismo que usted elija debe garantizar que el lanzamiento pueda ser:
Implantado rápidamente sobre los enlaces más débiles de su entorno.
Instalado remotamente sin necesitar intervención del usuario.
Configurado para permitir a los usuarios guardar su trabajo antes de que el sistema se reinicie.
Instalado sólo en aquellos ordenadores que necesitan aplicar el parche.
Registrado con suficiente detalle para que las auditorias posteriores a la implantación puedan determinar el éxito o el
fracaso.
Integrado con el proceso construido estándar.
Nota: Lea cuidadosamente el artículo de la Knowledge Base (KB) de cada actualización de software. Si la actualización de
software no puede desinstalarse, asegúrese de desarrollar los recursos necesarios para realizar una restauración en caso de que el
lanzamiento interfiera con el buen funcionamiento de algún equipo. Esto puede incluir reconstruir el ordenador o reinstalar
aplicaciones.
Comprensión de los Paquetes de Actualizaciones de Software
Las actualizaciones de software de distintos productos de Microsoft pueden empaquetarse con distintos instaladores para
satisfacer las necesidades únicas de cada producto. Los diferentes instaladores pueden tener distintos parámetros de líneas de
comando y distintas capacidades (por ejemplo, desinstalar).
Los siguientes recursos describen cómo se nombran varias actualizaciones de software, qué instaladores usa cada actualización
de software y los switches de línea de comando disponibles con cada instalador, así como recursos relacionados.
Nota: Microsoft está estandarizando los parámetros de líneas de comando de todos los paquetes de actualizaciones de software.
Asegúrese de comprobar los switches de línea de comando que acompañan a los artículos KB de las actualizaciones de software
para conocer las mejoras en cuanto se producen.
Muchas de las siguientes referencias usan el término revisión para referirse a un tipo de actualización de software que no es un
service pack; en la nueva nomenclatura de actualizaciones de software, una revisión es una reparación que no es pública; es
posible que los siguientes recursos no reflejen esta nueva taxonomía.
Windows NT 4.0
Las actualizaciones de software para Windows NT 4.0 y Windows 2000 SP3 y anteriores incluyen un instalador llamado
Hotfix.exe.
Cómo Instalar y Eliminar Revisiones con HOTFIX.EXE:
http://support.microsoft.com/?kbid=184305.
Los Paquetes de Revisiones No Incluyen los Archivos de Símbolo de Depuración de Código:
http://support.microsoft.com/?kbid=814411.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
53 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Windows 2000, Windows XP y Windows Server 2003
Las actualizaciones de software para Windows 2000 SP4 y posteriores, Windows XP y Windows Server 2003 incluyen un
instalador llamado Update.exe. Update.exe es una nueva versión del instalador Hotfix.exe.
Nueva Nomenclatura para los Paquetes de Revisiones de Microsoft Windows: http://support.microsoft.com/?kbid=816915.
Descripción del Programa Hotfix.exe y de los Switches de Línea de Comando: http://support.microsoft.com/?kbid=262841.
Cómo Instalar Múltiples Actualizaciones o Revisiones de Windows Con Un Solo Reinicio:
http://support.microsoft.com/?kbid=296861.
Cómo Instalar Actualizaciones de la Máquina Virtual de Microsoft Sin Reiniciar Su Equipo:
http://support.microsoft.com/?kbid=304930.
Internet Explorer
Las actualizaciones de software para Internet Explorer incluyen un instalador llamado IExpress.exe.
Switches Comunes de Líneas de Comando para Auto Instalar Archivos de Actualización:
http://support.microsoft.com/?kbid=197147.
Office 2000 y Office XP
Las actualizaciones de software para Microsoft Office 2000 y XP incluyen un instalador llamado Ohotfix.exe. Ohotfix.exe es
una lanzadera de archivos MSP (parche de Windows Installer) y usa Windows Installer para instalar actualizaciones de software.
Nueva Nomenclatura para los Paquetes de Revisiones de Microsoft Office:
http://support.microsoft.com/?kbid=816916.
White Paper: Implantación de Parches en Microsoft Office XP:
http://support.microsoft.com/?kbid=330043.
Instalación de Archivos de Actualizaciones Cliente con OHotFix:
http://www.microsoft.com/office/ork/xp/journ/ohotfix.htm.
Lista de Errores de Instalación de OHotFix:
http://support.microsoft.com/?kbid=324246.
Exchange Server
Las actualizaciones de software para Microsoft Exchange 5.0 y Exchange 5.5 (sobre Windows NT 4.0) incluyen SMS Installer.
Las actualizaciones de software para Exchange 2000 usan Update.exe excepto para los service packs, que usan una instalación
personalizada.
Nueva Nomenclatura para los Paquetes de Revisiones de Exchange Server: http://support.microsoft.com/?kbid=817903.
Hotfix de Switches de Líneas de Comando Posterior al Service Pack 3 de Exchange 2000 Server:
http://support.microsoft.com/?kbid=331646.
SQL Server 7.0 y SQL Server 2000
Las actualizaciones de software para Microsoft SQL Server usan varios instaladores, dependiendo del tipo de actualización de
software, la plataforma y la versión de SQL Server.
Instalador de Revisiones de SQL Server: http://support.microsoft.com/?kbid=330391.
Visual Studio
Microsoft Visual Studio 6.0 usa Express para los instaladores de actualizaciones de software. Visual Studio .NET utiliza
Windows Installer 2.0 con un empaquetador (wrapper) para los paquetes de actualizaciones de software.
Nomenclatura Para los Paquetes de Revisiones Redistribuibles de Microsoft Visual Studio .NET, .NET Framework y Visual J#:
http://support.microsoft.com/?kbid=822464.
Planificación y Preparación del Lanzamiento
Debe preparar el entorno de producción para cada nuevo lanzamiento individual. Las tareas y actividades necesarias para
preparar el lanzamiento dependerán del lanzamiento y del mecanismo seleccionado para realizarlo. Las tareas comunes incluyen
comunicar información sobre el lanzamiento a los usuarios y el resto del personal, formar al equipo de servicios de soporte
técnico y de escritorio, hacer copias de seguridad de los componentes TI críticos y configurar su mecanismo de lanzamiento
consecuentemente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
54 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Al prepararse para el lanzamiento, será necesario ofrecer comunicación avanzada a los usuarios e informar al equipo de soporte
del plan de implantación. Asegúrese también de identificar los posibles procedimientos de restauración. Los métodos para
desinstalar parches pueden variar desde el soporte completo para la desinstalación o los pasos para la desinstalación manual,
hasta la no desinstalación. Asegúrese de tener un plan de restauración definido por si la implantación no tiene el mismo éxito que
en el entorno de pruebas.
Implantación del Lanzamiento
El proceso de trasladar el lanzamiento al entorno de producción dependerá del tipo y la naturaleza del lanzamiento, así como del
mecanismo de lanzamiento seleccionado. Sin embargo, en todos los casos será necesario sincronizar los entornos de pruebas y
de producción y estar preparado para controlar y supervisar el progreso de la implantación.
Idealmente, las actualizaciones de software deberían implantarse por fases. Siguiendo una implantación por fases, minimiza el
impacto de algún fallo o aspecto negativo que pudiese ser introducido por la distribución inicial de un parche.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
55 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Técnicas para un Lanzamiento de Seguridad para
Windows Lista de Técnicas de Lanzamiento de Seguridad WU SUS SMS
Técnicas de Gestión del Lanzamiento
Implantación por Fases con SUS Si
Implantación por Fases con SMS Si
Técnicas de Revisión de Cambios
Confirmar las Implantaciones de SUS y WU Si
Confirmar la Implantación de SMS Si
Técnicas de Gestión del Lanzamiento
Las siguientes técnicas le ayudarán a implementar un planteamiento por fases para llevar a cabo las implantaciones de
actualizaciones de software.
Implantación por Fases con SUS
Entorno: WU
SUS SMS
Propósito: Controlar el lanzamiento de los parches implantándolos en distintas partes
de su entorno mediante un planteamiento por fases.
Prerrequisitos: Una infraestructura SUS compuesta por múltiples servidores
Escala: Las técnicas se pueden escalar a entornos de todos los tamaños.
Si su entorno SUS se compone de varios servidores, puede realizar un lanzamiento por fases aprobando los parches en distintos
momentos en cada servidor SUS. Primero debe aprobar la actualización en el servidor SUS principal. Una vez que la
actualización se ha implantado correctamente en los clientes soportados por ese servidor, puede sincronizar la lista de
aprobaciones en el servidor SUS secundario que soporta a los clientes de la siguiente fase del lanzamiento.
Por ejemplo, se va a lanzar una actualización con impacto sobre todos los clientes Windows primero sobre los clientes de Seattle
y, una vez terminada la implantación, se hará sobre los clientes de Atlanta. En este ejemplo, el servidor SUS de Atlanta es un
servidor secundario del servidor SUS de Seattle.
Al aprobar una actualización en el servidor SUS de Seattle, los clientes comenzarían a descargar e instalar la actualización. Una
vez que se ha completado la implantación de Seattle y que usted ha determinado que la actualización no tiene efectos adversos
sobre su entorno de producción, puede configurar el servidor de Atlanta para sincronizar su lita de aprobaciones con la lista del
servidor SUS de Seattle. En cuanto las listas de aprobaciones se hayan sincronizado correctamente, las actualizaciones aprobadas
en el servidor de Seattle estarán disponibles para los clientes soportados por el servidor de Atlanta.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
56 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Por defecto, los servidores SUS están configurados para sincronizar su contenido directamente de los servidores Microsoft
Windows Updates y es necesario aprobar las actualizaciones en cada servidor. Para reducir la cantidad de tareas administrativas
necesarias para el proceso de implantación por fases, puede establecer relaciones primario/secundario entre los servidores SUS
que le ayudarán a garantizar que las aprobaciones de las actualizaciones adecuadas se dan en todo su entorno. Para más
información, consulte la sección ―Sincronizar Contenido con Otro Servidor‖ del white paper Implantación de Software Update
Services:
http://www.microsoft.com/windows2000/windowsupdate/sus/susdeployment.asp.
Nota: Otra técnica para dividir la implantación en fases implica la planificación de la instalación del cliente Automatic Updates
de modos distintos para los grupos de clientes.
Implantación por Fases con SMS
Entorno: WU
SUS SMS
Propósito: Controlar el lanzamiento de los parches implantándolos en distintas partes
de su entorno mediante un planteamiento por fases.
Prerrequisitos: Una jerarquía SMS en funcionamiento y sana.
Escala: Las técnicas se pueden escalar a entornos de todos los tamaños.
Dependiendo del tamaño de su jerarquía SMS, puede crear colecciones basadas en subredes conocidas y distribuir el software a
un subconjunto de la población. Este funcionamiento por fases le permite supervisar la distribución más eficazmente.
Para realizar una implantación por fases:
1. Determine sus criterios de subconjunto. ¿Realizará la distribución por subredes? ¿Por el sistema operativo? ¿Por los sitios
de Directorio Activo? ¿Por departamento? Su entorno y su empresa le ayudarán a determinarlo.
2. Cree Colecciones basadas en una consulta SMS que ordene los clientes gestionados por SMS. Por ejemplo, ordene una
colección SMS por servidores y otra por estaciones de trabajo en cada unidad organizativa, sitio SMS o sitio de Directorio
Activo.
3. Cree el Paquete.
4. Cree el Aviso.
5. Asigne el Aviso a su primera Colección.
6. Cuando sepa que la implantación ha tenido éxito en el primer grupo, asigne el Aviso a su segunda Colección y así
sucesivamente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
57 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Técnicas de Revisión de los Cambios
Las siguientes técnicas le ayudarán a supervisar el progreso y a restaurar las implantaciones de actualizaciones de software.
Confirmar Implantaciones de SUS y WU
Entorno: WU
SUS SMS
Propósito: Determinar si los ordenadores de su entorno han instalado correctamente los
parches implantados mediante SUS o WU.
Prerrequisitos: Debe haber implementado los rastreos MBSA de vulnerabilidades, como se
explica en la Parte II, Capítulo 2, ―Instalación‖.
Escala: La revisión de los registros de eventos en los entornos grandes suele
limitarse a los ordenadores críticos. El informe de IIS funciona eficazmente
en entornos de cualquier tamaño.
Analizar Rastreos de Vulnerabilidades, Registros de Eventos y el Registro
Las acciones siguientes le ayudarán a confirmar la correcta implantación de las actualizaciones de software en su entorno:
Use MBSA para supervisar la implantación de las actualizaciones de software que puede detectar esta herramienta.
Analice el rastreo que MBSA hace de su entorno después de la implantación de un parche para comprobar que la
actualización no figura como no aplicada en el informe de MBSA. Necesitará desarrollar un plan para tratar los ordenadores
que no reciben una actualización según lo previsto. En la mayor parte de los casos, puede esperar hasta que los ordenadores
se sincronicen de nuevo con los servidores SUS de su entorno, pero dependiendo de la seguridad y del nivel de exposición
de su entorno respecto a una vulnerabilidad determinada, es posible que necesite tomar medidas más drásticas.
Compruebe el registro del ordenador. Muchas actualizaciones de software registran información en la siguiente ubicación
del registro: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates
La información de la actualización se organiza por producto e incluye una descripción de la actualización, quién la ha
instalado, la fecha de instalación y el comando de desinstalación, si es aplicable.
La sección Información Adicional del boletín de seguridad proporciona las entradas del registro realizadas por el paquete de
instalación del parche de seguridad para todos los sistemas operativos aplicables.
Compruebe el registro de eventos en busca de errores relacionados con SUS en los clientes Automatic Updates. La
lista completa de posibles eventos para el cliente AU está en el Apéndice C, ―Registro del Estado del Cliente‖ del white
paper Implantación de Software Update Services:
http://www.microsoft.com/windows2000/windowsupdate/sus/susdeployment.asp.
Revise los registros de IIS en el servidor SUS de su entorno. Compruebe que http devuelve códigos (por ejemplo, ―http
404 – Archivo no Encontrado‖) para cada entrada; así sabrá si los ordenadores experimentan problemas de descarga.
Busque errores en el archivo “Windows update.log” en los ordenadores críticos de su entorno. Este archivo contiene
un registro de todas las actividades realizadas por el cliente AU. Se encuentra en la raíz de la carpeta del sistema de cada
ordenador cliente (por ejemplo, C:\Windows).
Compruebe el estado del cliente AU en el registro. El valor AUState indica si queda pendiente la instalación de algún
parche. Este valor se almacena en la siguiente ubicación:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update
El valor de AUState debe ser 2 para que el cliente busque las nuevas actualizaciones aprobadas. Si AUState se fija en 5, el
cliente deja pendiente la instalación de las actualizaciones descargadas y no realiza una nueva detección hasta haber
instalado estas actualizaciones. El cliente volverá a fijar AUState en 2 después de la instalación.
Tenga cuidado con las inestabilidades del sistema. Como práctica recomendada, supervise un grupo de ordenadores que
representen su entorno para buscar cualquier detención del sistema que pueda afectar negativamente a los usuarios.
Supervise las llamadas a su servicio de soporte para localizar pautas comunes de quejas de los usuarios y caídas del sistema
que puedan estar relacionadas con la reciente implantación de un parche de seguridad.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
58 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Compruebe la carpeta de desinstalación. La información de desinstalación de muchos parches se almacena en una carpeta
escondida bajo la carpeta del sistema (por ejemplo, C:\Windows\$NtUninstallQ331320$). La presencia de estas carpetas en
el sistema es un buen indicador de que el parche se ha instalado correctamente.
Configurar los Informes de IIS
Los clientes Automatic Updates (AU) pueden configurarse para que devuelvan información de estado al servidor SUS o a otro
servidor IIS 5.0 con el registro activado. La información de estado del cliente AU se muestra como datos del registro IIS en
estado original dentro de los registros IIS. Para leer información detallada sobre cómo interpretar correctamente la información
del registro y cómo optimizar IIS para el registro de clientes AU, vea el Apéndice C, ―Registro del Estado del Cliente‖ del white
paper Implantación de Software Update Services:
http://www.microsoft.com/windows2000/windowsupdate/sus/susdeployment.asp.
El cliente AU comunica su estado al servidor especificado en estos casos:
Durante la Auto actualización: si la auto actualización queda pendiente
Después de la Auto actualización: éxito o fallo de la auto actualización
Durante la Detección: éxito o fallo del inicio
Después de la Detección: éxito o fallo de la detección
Después de la Descarga: éxito, rechazo o fracaso de la descarga
Después de la Instalación: éxito, rechazo o fracaso de la instalación
La revisión de estos registros le proporciona un método fiable y eficaz para supervisar la instalación de un parche de seguridad
cuando lo lanza en su entorno.
Note: SUSserver.com ofrece una utilidad de informes SUS para construir un informe basado en el archivo de registro IIS de un
servidor SUS. Para más información, consulte la Utilidad de Informes de SUS:
http://www.susserver.com/Software/SUSreporting/.
SUSserver.com no está asociado ni avalado por Microsoft.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
59 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Desinstalar una Actualización
Si usted decide que necesita desinstalar un parche de seguridad, generalmente puede hacerlo mediante el elemento Agregar o
Quitar Programas del Panel de Control. Desinstalar un parche puede ser una tarea pesada en la mayoría de los entornos. Sin
embargo, a menudo es posible eliminar un parche ejecutando su comando de desinstalación. Éste es un ejemplo de un comando
típico de desinstalación:
C:\WINNT\$NtUninstallQ331953$\spuninst\spuninst.exe
Puede incluir comandos de desinstalación en un script de inicio de sesión o en los scripts de inicio del equipo y asignarlo
mediante la Directiva de Grupo de Directorio Activo para automatizar la eliminación de varias actualizaciones de
software.
Note: Este comando en concreto desinstalaría el parche relacionado con el boletín de seguridad MS03-010. El número del
artículo de la Knowledge Base que contiene información específica sobre el parche de seguridad se menciona como parte
del nombre de las carpetas de desinstalación. El ejemplo anterior se refiere al artículo 331953 de la Knowledge Base.
Confirmar la Implantación de SMS
Entorno: WU
SUS SMS
Propósito: Determinar si los ordenadores de su entorno han instalado correctamente los
parches implantados mediante SMS.
Prerrequisitos: Sistemas de distribución de software y estado sanos. Tener la herramienta
Informes Web instalada en un servidor que ejecute IIS.
Escala: Las técnicas se escalan a entornos de cualquier tamaño.
Systems Management Server ofrece los siguientes métodos para revisar el éxito o el fracaso de la implantación de un parche:
Estado del Aviso de la Consola del Administrador de SMS
Herramienta Informes Web
Visor del Estado del Aviso
Archivos de Registro de SMS
Estado del Aviso de la Consola del Administrador de SMS
En cada consola del Administrador de SMS, Estado del Aviso contiene un resumen para cada aviso distribuido por SMS y un
resumen de las estadísticas del aviso en todos los sitios de la jerarquía. Esta información le permite supervisar proactivamente el
proceso de implantación del parche. El Sistema de Estado incluye varios elementos de consola que describen el estado de las
distribuciones de software:
Resumen del Estado del Paquete
Resumen del Estado del Aviso
Información Detallada del Paquete
Información Detallada del Aviso
Mensajes informativos, de error y de aviso
Herramienta de Informes Web
La Herramienta de Informes Web de Microsoft se incluye en el Feature Pack de SUS para SMS: Instalada como un sitio IIS, la
herramienta de Informes Web proporciona una visión Web, gráfica, de los datos SMS. Puede ver los informes de actualizaciones
de software que ofrece el complemento Informes Web para Actualizaciones de Software de la lista bajo el nodo Actualizaciones
de Software en la herramienta Informes Web.
El complemento Informes Web para Actualizaciones de Software contiene varios informes prediseñados que puede usar para ver
la información sobre una actualización de software concreta. Además de usar los informes prediseñados, también puede usar las
vistas de SQL Server y el esquema de inventario documentado para crear informes de inventario de actualizaciones de software
personalizados y ajustados a las necesidades de su empresa.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
60 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Para más información sobre la Herramienta de Informes Web, vea la Presentación de Soporte Online (webcast) de Microsoft
―Crear Informes de Systems Management Server Mediante la Herramienta Informes Web de SMS‖:
http://support.microsoft.com/?kbid=325071.
Visor de Estado de Avisos
Puede usar la herramienta Visor de Estado de Avisos para ver el estado exhaustivo de un aviso en los clientes SMS individuales
o en las colecciones en varios intervalos definidos por el usuario.
El Visor de Estado del Aviso:
Muestra el estado de un aviso dado en todos los clientes que deben recibirla; es decir, todos los clientes a los que está
dirigido el aviso.
Muestra qué clientes no han recibido el aviso. Esto puede ayudarle con los ordenadores portátiles, etcétera (saber qué
clientes no han recibido la actualización es difícil a través de los mensajes de estado, porque esta condición existe cuando el
cliente no ha comunicado todavía un mensaje de estado sobre el aviso).
Muestra estadísticas porcentuales completas, como el porcentaje de clientes que ha ejecutado correctamente el aviso, el
porcentaje que no lo ha recibido, etcétera.
Aborda las situaciones en que el aviso se dirige a una colección y todas sus sub-colecciones. En este caso, se emiten
consultas recurrentes para determinar el conjunto total de clientes de la colección.
Para una colección dada, muestra el estado de todos los avisos que debe recibir cada ordenador de la colección. El estado no
se limita sólo a los avisos dirigidos a esa colección; también incluye los dirigidos a cualquier colección a la cual pertenezca
alguno de esos clientes.
Muestra el texto original de los mensajes de estado. Además del texto original del mensaje, muestra el texto de todas las
clases WMI asociadas con un cierto mensaje de estado.
Puede imprimir y guardar el estado.
El Visor de Estado de Avisos es parte de las Herramientas de Soporte del Service Pack de Systems Management Server 2.0:
http://www.microsoft.com/smserver/downloads/20/tools/spsupport.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
61 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Aplicar la Directiva de Seguridad Resumen
La implantación de un parche de seguridad no elimina el riesgo asociado con la vulnerabilidad.
Muchas empresas tienen un cierto nivel de administración descentralizada (por ejemplo, múltiples grupos con permisos
administrativos o usuarios finales con permisos administrativos sobre sus ordenadores), estándares de instalación de ordenadores
de línea de referencia inexistentes o no restringidos u ordenadores no administrados (por ejemplo, ordenadores de laboratorio o
―servidores bajo escritorios‖) en su entorno.
Puede haber razones empresariales válidas para estas situaciones, o puede que el entorno TI no tenga en funcionamiento
controles administrativos regulados. En cualquier caso, la gestión de vulnerabilidades es una actividad importante estrechamente
relacionada con la gestión de parches de seguridad.
Las vulnerabilidades de seguridad aflorarán en esos entornos incluso después de que el proceso de lanzamiento de seguridad
haya implantado eficazmente un parche de seguridad. Las vulnerabilidades pueden repetirse fácilmente cuando se instalan o
reinstalan nuevos ordenadores o software, cuando se cambia la configuración o cuando se produce un lanzamiento de seguridad
que no abarca los ordenadores no administrados.
Toda la actividad y el coste de la gestión de parches de seguridad se desperdician sin un enfoque global para tratar las
vulnerabilidades que se repiten en el entorno. Las vulnerabilidades recurrentes son, en potencia, más peligrosas que cuando se
anuncian por primera vez; la probabilidad de que se explote una vulnerabilidad con herramientas de ataque que la identifiquen es
mucho mayor.
Nota: Para más información sobre cómo gestiona las vulnerabilidades el Grupo de Operaciones y Tecnología de Microsoft,
consulte Gestión de las Vulnerabilidades Informáticas en Microsoft:
http://www.microsoft.com/technet/itsolutions/msit/security/mscomvul.asp.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
62 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Directiva de Seguridad – Estándares de Seguridad Para hacer cumplir realmente una directiva de seguridad, debe existir tal directiva y ser comunicada a las personas que se espera
que la sigan. Una directiva de seguridad eficaz debe identificar el estándar de seguridad mínimo para los ordenadores (basado en
la tolerancia de su empresa al riesgo), que puede incluir:
Estándares de instalación que describan las ubicaciones y métodos de instalación soportados.
Estándares de red y de dominio que indiquen cómo se asignan los nombres y la información TCP/IP y en qué dominios
deben integrarse los ordenadores.
Opciones de seguridad y parámetros de directiva del sistema operativo, incluyendo la reducción de los puertos abiertos
conforme a los servicios necesarios.
Todos los estándares que describan el uso de los sistemas de archivos encriptados.
Los requisitos mínimos de service packs y parches de seguridad, actualizados con cada lanzamiento de seguridad.
Cumplimiento del software antivirus.
Parámetros de configuración de seguridad de las aplicaciones, como la protección de los archivos de macros y las zonas de
seguridad.
Estándares de las cuentas administrativas, por ejemplo renombrar o deshabilitar cuentas y configurar las cuentas señuelo.
Estándares fiables para contraseñas.
Un estándar de seguridad puede ser distinto para cada categoría de ordenador (por ejemplo, estaciones de trabajo, servidores y
ordenadores que se conectan remotamente) y debe evolucionar con el tiempo.
Sus estándares de seguridad y las líneas de referencia de software deben estar estrechamente relacionados. Los estándares de
seguridad pueden proporcionar datos de entrada para sus líneas de referencia y viceversa.
La violación de una directiva de seguridad sugiere una vulnerabilidad que debe ser eliminada del entorno. La vulnerabilidad
podría ser un ordenador que carezca de varias actualizaciones de software, esté mal configurado o cuyo usuario no utilice
contraseñas sólidas.
La directiva de seguridad puede ofrecer directrices para cada tipo de violación de la directiva; esto se puede usar para determinar
la gravedad de una vulnerabilidad concreta.
Nota: Microsoft Baseline Security Analyzer (MBSA) hace un rastreo en busca de actualizaciones de software relacionadas con la
seguridad y errores comunes de la configuración de seguridad. No efectúa escaneos para comprobar el cumplimiento de todos
los elementos de la directiva de seguridad de una empresa. En base a su directiva concreta de seguridad, es posible que usted
quiera añadir vulnerabilidades adicionales a sus informes de rastreo de vulnerabilidades a través de scripts y otras herramientas.
Después de poner en funcionamiento una directiva de seguridad que defina los estándares de seguridad informáticos, aplique las
estrategias que le muestra la sección siguiente para tratar las vulnerabilidades o violaciones descubiertas a través de una serie de
fases.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
63 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Estrategias de Aplicación Una vulnerabilidad de seguridad, como una contraseña débil o un ordenador que carezca de un parche de seguridad necesario,
que viole la directiva debe ser tratada como un problema estándar por su servicio de escritorio.
Aplicar la directiva de seguridad puede ser complicado debido a la administración distribuida y a los activos vulnerables que no
se administran de forma centralizada. La persona o grupo responsable de administrar el activo y resolver la vulnerabilidad puede
no ser conocida o ser difícil de encontrar, estar físicamente en otro departamento o carecer de las habilidades necesarias para
resolver por sí misma la vulnerabilidad.
De acuerdo con esto, hay varias prácticas necesarias y útiles en lo que se refiere a aplicar la directiva de seguridad:
Las directivas de seguridad, la aplicación de las líneas temporales y los enfoques tienen que tener el soporte de la
administración superior entre departamentos.
Las técnicas y herramientas para determinar la propiedad y la información administrativa de un ordenador no administrado
deben estar disponibles para los técnicos del servicio de escritorio.
Se debe formar a los técnicos de servicio de escritorio para paliar todas las vulnerabilidades que violan la directiva de
seguridad, de modo que puedan ayudar a los demás a tratar las vulnerabilidades que se les asignan.
Nota: Hay varios scripts disponibles en el Centro de Scripts de TechNet para ayudarle a identificar remotamente la información
del ordenador, si tiene usted acceso administrativo:
Devolver la Información del Sistema:
http://www.microsoft.com/technet/scriptcenter/compmgmt/scrcm42.asp.
Devolver las Propiedades del Sistema Operativo:
http://www.microsoft.com/technet/scriptcenter/compmgmt/scrcm40.asp.
Identificar el Usuario Conectado a un Ordenador Remoto:
http://www.microsoft.com/technet/scriptcenter/user/scrug59.asp.
Devolver los Valores de los Atributos para una Cuenta de Usuario Local:
http://www.microsoft.com/technet/scriptcenter/user/scrug116.asp.
Si no tiene acceso administrativo a un ordenador, sus opciones para identificar datos sobre el mismo se ven reducidas en gran
medida. Sin embargo, hay utilidades de escaneo de puertos y otras herramientas de seguridad que pueden ser valiosas para este
objetivo.
Para más información, consulte la Parte I, Apéndice A, ―Herramientas y Recursos de Terceros‖.
Enfoques y Límites Temporales La directiva de seguridad debe definir qué vulnerabilidades están prohibidas en el entorno y describir el enfoque obligatorio y los
límites temporales relacionados con ello.
La naturaleza de una vulnerabilidad, por ejemplo, el riesgo de explotación y el coste de la recuperación, debe ayudar a
determinar la agresividad de la respuesta. Algunas vulnerabilidades deben resolverse en 24 o 48 horas, mientras que otras
pueden tardar una o dos semanas en ser resueltas.
Si la vulnerabilidad se resuelve con una actualización de software, puede intentar algunos enfoques básicos, que incluyen:
Pedir al propietario del activo que visite Microsoft Windows Update o un sitio interno para instalar las actualizaciones de
software adecuadas.
Forzar la actualización de software en el equipo a través de su infraestructura de distribución de software.
Si los intentos de resolver la vulnerabilidad en el plazo de tiempo requerido no tienen éxito, puede emplear tácticas más
agresivas, como:
Escalar el problema dentro de la empresa de quien ha violado la directiva.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
64 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Deshabilitar la cuenta principal que se usa para acceder al ordenador.
Eliminar el ordenador de la red desconectándolo físicamente o configurar el hardware de la red para obtener ese mismo
efecto.
Estas dos últimas tácticas desembocan generalmente en una llamada al servicio de soporte, donde se puede discutir la
vulnerabilidad y encontrar una solución aceptable. Asegúrese de disponer del soporte ejecutivo para la directiva de seguridad
antes de escalar las violaciones de seguridad e intentar estas técnicas.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
65 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Recomendaciones para Emergencias –
Contingencia El plan de contingencia para la respuesta urgente de seguridad es el modo en que su empresa debe prepararse antes de que se
produzca un ataque para asegurar una respuesta coordinada y sin problemas durante un período en el que cada segundo puede
limitar el daño provocado por un ataque.
Hay tres áreas principales que deben preparase para la respuesta urgente de seguridad:
Herramientas y prácticas regulares de auditoria y detección de intrusiones.
Un equipo identificado de Respuesta ante Incidentes con un plan formal de Respuesta ante Incidentes que incluya técnicas
de aislamiento y contención que puedan implementarse rápidamente en todo el entorno.
Establecer las acciones posteriores y un proceso de revisión para aprender del ataque.
Consideremos los siguientes tipos de ataque, que pueden implicar a diferentes personas o distintos acercamientos en el plan de
respuesta ante incidentes:
Ataques de vírus o gusanos.
Ataques distribuidos de denegación de servicio (DoS).
Intrusiones no autorizadas en la red.
Abusos internos de la red.
Éstas son algunas otras prácticas recomendadas que le ayudarán a prepararse para un ataque:
Mantener imágenes protegidas del sistema operativo (líneas de referencia) que puedan restaurarse rápidamente en una
plataforma de hardware dada para revertir el sistema a un buen estado conocido del sistema operativo.
Asegurarse de que su empresa conoce todas las técnicas necesarias durante un ataque.
Asegurarse de que sus usuarios finales están formados en las directivas de seguridad y en las directivas de usos aceptables.
Mantener una lista con prioridades de todos los activos clave que deben protegerse primero en caso de emergencia.
Seguir todas las actividades de instalación para la gestión de parches de seguridad recomendadas en esta guía, incluyendo la
suscripción a las notificaciones de seguridad y el establecimiento de informes continuos de rastreo de vulnerabilidades. Esto
se aborda en la Parte II, Capítulo 2, ―Instalación‖.
Establecer y mantener información sobre la recuperación tras un desastre para todos los sistemas. Considere invertir en
activos y procedimientos de migración tras error (failover), posiblemente en ubicaciones secundarias para los sistemas
críticos.
Mantener en CD todas las actualizaciones para usarlas si se queda sin acceso a Internet.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
66 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Detección de Intrusiones Algunos ataques han sido fáciles de identificar; por ejemplo, los virus por correo electrónico Melissa y Anna Kournikova eran
claramente reconocibles. Código Rojo mutilaba los servidores Web. Otros, como SQL Slammer, no dejaron ningún signo obvio
salvo el incremento del tráfico de la red.
Hay muchos recursos en la Web que ofrecen indicadores tempranos de una actividad inusual:
Actividad Actual del CERT (incluye listas de comprobación y directrices para la respuesta ante incidentes):
http://www.cert.org/current/.
Internet Storm Center: http://isc.incidents.org.
Servicio de Asesoría de Incidentes Informáticos (CIAC): http://www.ciac.org/ciac/.
Supervisión de la Red Es necesaria una combinación de herramientas y prácticas para detectar las intrusiones en la red o en su perímetro. Éstas son
algunas de las actividades e identificadores que hay que buscar al realizar una supervisión periódica de la red:
Busque incrementos repentinos del tráfico global. Un incremento del tráfico puede ser explicable, por ejemplo si se ha
mencionado su sitio Web en un sitio de noticias conocido. Sin embargo, un incremento repentino e inesperado en el tráfico
global puede indicar un problema. Cree una línea de referencia del tráfico del router y los cortafuegos y compruebe
periódicamente si ha habido incrementos por encima de la línea de referencia.
Un incremento repentino del número de paquetes deformados o erróneos. Algunos routers recopilan estadísticas de los
paquetes; también puede usar un escáner de red de software para rastrear los paquetes deformados.
Los filtros de salida del router o del firewall capturan un gran número de paquetes. Los filtros de salida impiden que
los paquetes falsos salgan de su red, así que si su filtro está capturando un gran número de paquetes, debe identificar su
fuente, porque los ordenadores de su red podrían estar en peligro. Compruebe la documentación del hardware de su red para
obtener más información sobre los filtros de salida.
Nota: Network Monitor es una herramienta de Microsoft que se incluye en Microsoft Systems Management Server (SMS) y que
puede usarse para capturar el tráfico de la red (Windows 2000 incluye una versión limitada). Para más información sobre
Network Monitor, consulte Cómo: Usar Network Monitor para Capturar el Tráfico de Red:
http://support.microsoft.com/?kbid=812953.
Vea también las Preguntas Frecuentes Sobre Network Monitor:
http://support.microsoft.com/?kbid=294818.
ISA Server incluye también varias capacidades para ayudarle a detectar y responder a las intrusiones, descritas en Seguridad con
Internet Security and Acceleration Server 2000: http://www.microsoft.com/isaserver/techinfo/planning/firewallsecuritywp.asp.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
67 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Supervisar las Configuraciones Hay varias áreas que comprobar en los ordenadores y dentro de los dominios:
Servicios no autorizados. Compruebe la lista de servicios que se están ejecutando en el servidor o en la estación de trabajo.
Compruebe que todos los servicios son necesarios comparándolos con ordenadores similares. Muchos ataques utilizan
nombres de servicios que parecen auténticos; cree una línea de referencia para los servicios que se ejecutan en los
ordenadores nuevos y compruebe periódicamente si ha habido cambios.
Archivos escondidos o nuevos directorios. Localice todos los archivos escondidos ubicados en C:\, en los directorios
C:\Winnt o C:\Winnt\System32 o en cualquier otro lugar de la ruta ejecutable. Busque los directorios de nueva creación que
puedan contener código de ataque.
Aparición de cuentas de usuario nuevas o desconocidas. La aparición de nuevas cuentas de usuario, especialmente las
asignadas a grupos con privilegios, puede indicar que un ataque o una elevación de privilegios ha tenido éxito. Busque las
cuentas que no cumplen las convenciones de nomenclatura de su empresa.
Nota: El Centro de Scripts de TechNet incluye varios scripts para realizar de forma remota listas de servicios, carpetas y cuentas
de usuario de dominio.
Determinar los Servicios Que Se Están Ejecutando en Todos los Procesos:
http://www.microsoft.com/technet/scriptcenter/services/ScrSvc04.asp.
Enumerar Todas las Carpetas de un Ordenador:
http://www.microsoft.com/technet/scriptcenter/filefolder/ScrFF25.asp.
Enumerar Todas las Cuentas de Usuario en un Dominio NT 4.0:
http://www.microsoft.com/technet/ScriptCenter/user/ScrUG120.asp.
Auditar Registros de Eventos Los registros de eventos son también una fuente de información útil sobre intrusiones. Examine los registros de la aplicación, el
sistema, seguridad e IIS y preste atención a:
Reinicios no programados de los ordenadores servidor. Esto puede indicar que han estado e peligro. Supervise los
registros de eventos del servidor por si ha habido inicios de sesión fallidos y otros eventos relacionados con la seguridad.
Reinicios no programados o falta de disponibilidad de las aplicaciones de servidor. Preste atención a si alguna
aplicación de servidor, como Internet Información Services (IIS) o SQL Server, se reinicia inesperadamente o deja de
responder.
Nota: Para más información sobre las auditorias en Windows, vea:
Cómo: Habilitar y Aplicar la Auditoria de Seguridad en Windows 2000:
http://support.microsoft.com/?kbid=300549.
Prácticas Recomendadas para Auditar Windows 2000:
http://www.microsoft.com/windows2000/en/server/help/sag_SEconceptsImpAudBP.htm?id=420
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
68 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Debe realizar una auditoria regular de sus directivas de registro porque los archivos de registro pueden confeccionarse para
muchas aplicaciones. Es usted quien debe decidir si necesita generar procesos para hacer copias de seguridad de los archivos de
registro periódicamente,
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
69 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Parte III
PLAN DE BACKUPS,
CONSERVACIÓN, RECUPERACIÓN
Y MANTENIMIENTO DE LA BASES
DE DATOS
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
70 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de backups
Una breve introducción sobre el backup
¿Qué es el backup de datos?
El backup de datos es una forma de proteger la información valiosa frente a la posibilidad de pérdidas imprevistas o corrupción
de los datos. Generalmente implica copiar los datos importantes en un soporte de almacenamiento diferente para mayor
seguridad. En la actualidad, el backup de datos se realiza por todo tipo de razones — desastres naturales como incendios o
inundaciones, cortes de corriente eléctrica, fallos del sistema y errores humanos son algunos ejemplos.
¿Por qué realizar backups?
La cantidad de datos almacenados y archivados para utilizarlos posteriormente está aumentando drásticamente, tanto en los
usuarios domésticos como en los profesionales. Además, se estima que esta cantidad continuará creciendo a pasos agigantados
en los próximos años. Para protegerse frente a los costosos periodos de inactividad — y al precio que supone la pérdida de
información que es vital para su negocio, — una estrategia de backup amplia y bien planificada es una inversión sensata que le
ahorrará tiempo, dinero y angustias en caso de una emergencia imprevista.
Un 80 % de las empresas que pierden sus datos y no tienen establecido un procedimiento de backup se declaran en quiebra en un
plazo de 18 meses. Además, sólo el 3 % de las pérdidas de datos son el resultado de un desastre natural. El 97 % restante se debe
a una combinación de errores humanos, de hardware y de software, y a los virus. Ver (Figura 3.1.1).
¿Cuáles son las mejores reglas a seguir?
Backups frecuentes Para crear su plan, determine en primer lugar la frecuencia con que necesita realizar el backup. Este
intervalo de tiempo puede depender del tamaño de su negocio o de la importancia de sus datos. Para lograr una verdadera
fiabilidad, los expertos recomiendan realizar backups periódicos cada día, ya que no podrá recuperar lo que no haya copiado. El
primer paso en la planificación de una estrategia de backup es decidir cuántos días de datos o de trabajo puede permitirse perder.
Para la mayoría, la respuesta es no demasiado, lo que implica realizar un backup diario.
Backups automatizados Una verdadera estrategia de backup está automatizada. En otras palabras, los backups no dependen de
la iniciativa humana, ya que hay muchas posibilidades de que una persona se olvide o cometa un error. La manera más fácil de
configurar los backups automatizados es con un software de para que puedan realizarse de forma totalmente automática sin que
intervenga ninguna persona.
Figura 5.1.1: Grafica de las empresas que pierden sus datos
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
71 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Varios juegos de backup Guarde más de un juego de backup de los datos para mayor seguridad, ya que el soporte de
almacenamiento puede dañarse o corromperse. Rote sus juegos de backup, retirando regularmente el soporte antiguo e
introduciendo uno nuevo. Tener todos sus backups en un juego de soportes y reutilizarlos es arriesgado y le hace muy
vulnerable. Cuantos más juegos tenga, menor riesgo de pérdida de datos tendrá.
Copias fuera de la oficina Guarde siempre al menos una copia de los datos fuera de la oficina para evitar riesgos en caso de
robo, incendio u otros desastres. Más vale una copia antigua que ninguna. Verá que, tras el desastre, podrá recuperar todo su
disco duro en unos minutos.
―Guarde varias copias de sus datos para más seguridad y tenga siempre al menos una de ellas fuera de la oficina, para evitar
riesgos en caso de robo, incendio u otros desastres‖.
Backup en horario no laborable Si es posible, es mejor realizar los backups de los datos fuera del horario normal de oficina.
Muchos archivos y servidores de archivos estarán abiertos y/o en uso durante el día y, si se programan para que se lleven a cabo
en ese momento, existirá el riesgo de pérdida de información crítica. Los backups se pueden programar fácilmente para que se
realicen automáticamente por la noche y no interrumpan el ritmo de trabajo durante el horario laboral.
¿Qué hay que tener en cuenta al elegir un plan de backup?
Al seleccionar un plan de backup hay que considerar varios aspectos, incluidos el coste y el tipo y cantidad de los datos.
Cantidad de datos Para determinar qué tipo de sistema de backup debe utilizar y cuántos soportes necesitará, deberá precisar la
cantidad de datos de los que necesita realizar backup. Las empresas con grandes cantidades de datos pueden sentir la necesidad
de realizar esta operación con más frecuencia. Es posible que algunas organizaciones sólo necesiten realizar backups de los
servidores. Otras pueden incluir estaciones de trabajo y mensajes de correo electrónico. Cualquiera que sea la cantidad, también
deberá tener en cuenta el volumen de datos que acumulará en los próximos años y durante cuánto tiempo necesitará guardarlos.
Muchas administraciones, incluida la de los Estados Unidos, han promulgado recientemente leyes que exigen que determinadas
empresas conserven los datos durante siete años. Asegúrese de elegir el soporte de almacenamiento que pueda alojar su volumen
de datos, así como su crecimiento en el futuro.
Costo A medida que el backup se va convirtiendo en una necesidad vital más común, van creciendo las opciones para realizar
backups fiables y a bajo coste. Aún así, el coste es un factor que será clave en su plan de backup. Deberá tener en cuenta el coste
inicial del hardware, el software y la configuración, el coste de mantenimiento de su sistema de backup y si necesitará a un
especialista en tecnologías de la información; y, por último, el coste por gigabyte. Aunque la configuración de su plan de backup
necesitará sin duda algún desembolso inicial, los estudios muestran que es muy valiosa para evitar costes inútiles debidos a
periodos de inactividad y pérdida de datos críticos.
Cómodo y fácil de usar Su plan de backup debe ser fácil de implementar y de mantener, y tiene que poder ser ejecutado por
varias personas de su organización. Al encargar a una sola persona el control del procedimiento de backup, tendrá las manos
atadas en caso de que dicha persona no esté disponible en un momento crítico.
Seguridad Sus datos deberán copiarse en un soporte seguro y fiable que pueda almacenarse fuera de la oficina y al que se pueda
acceder fácilmente. De este modo, en caso de un desastre o catástrofe que destruya todos los datos que se encuentran en la
oficina, podrá disponer de copias intactas actualizadas de la información importante para poder recuperarla.
Recuperación de los datos Tener los datos disponibles cuando se necesitan es tan importante como realizar un backup de los
mismos. Cuando se precisan, es importante poder acceder a archivos e información específica. En el caso desafortunado de que
se produzca un desastre, querrá que su negocio se ponga en marcha cuanto antes con el menor tiempo de inactividad posible.
Para restablecer los datos perdidos es imperativo disponer de backups que sean fácilmente accesibles.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
72 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Equipos y soportes de backup
Unidades ópticas
Aunque se utilizan más para el archivo que para realizar backups, las unidades de disco compacto (CD) y de disco versátil
digital (DVD) pueden ser un buen método para crear copias de backup de archivos o proyectos pequeños. Una ventaja es que las
unidades ópticas utilizan discos pequeños y duraderos que no se degradan con el tiempo. El backup realizado en discos ópticos
elimina el periodo de inactividad durante el proceso de copia. Los discos ópticos son pequeños y compactos, por lo que ocupan
poco espacio y pueden transferirse fácilmente.
Ventajas: Las unidades ópticas como dispositivos de backup ofrecen una gran variedad de ventajas útiles, incluido su bajo coste.
Los discos CD y DVD son baratos y, normalmente, el coste de adquirir una nueva unidad de CD no es un factor a tener en
cuenta, ya que actualmente la mayoría de los ordenadores incluyen de serie regrabadoras de CD. Las unidades y soportes ópticos
son fáciles de encontrar y de usar, prácticamente no se necesita experiencia técnica para configurar y mantener un plan de
backup que incluya regrabadoras de CD o DVD. Además, los discos ópticos son pequeños y compactos y se pueden transportar
fácilmente y guardar fuera de la oficina. Varios usuarios pueden compartir y acceder fácilmente a los datos almacenados en los
discos CD o DVD.
Inconvenientes: Aunque las regrabadoras de CD son un método rápido y barato para realizar backups, ofrecen una capacidad
relativamente pequeña (700 MB por disco). Las regrabadoras de DVD suministran una capacidad ligeramente mayor (4,7 GB
por disco). Además, las unidades ópticas prácticamente sólo puede utilizarlas un usuario y, como a menudo se necesitan para
otros propósitos aparte de para backup, su proceso de backup sería difícil de automatizar.
Usos: Las unidades ópticas son perfectas para las empresas que necesitan archivar información durante mucho tiempo o para las
personas que almacenan proyectos pequeños o que duplican archivos. La pequeña capacidad de las unidades ópticas en relación
a los discos duros y las cintas a menudo las convierten en la mejor elección para conservar duplicados y archivos de datos.
Recuerde que, si elige usar discos CD o DVD para realizar backups, tendrá que seleccionar una regrabadora, de CD (CD-RW) o
DVD (DVD-RW), en lugar de una unidad lectora (CD-R o DVD-R).
Estrategias de backup
Existen varias escuelas de pensamiento en el tema del backup de datos y, en consecuencia, se puede elegir entre muchos
métodos. Como podría esperar, todas las situaciones son diferentes y las empresas y los usuarios han de tener en cuenta diversos
aspectos y entornos que son exclusivos a ellos y a sus necesidades de servidor/red.
Elegir una estrategia de backup significa decidir los archivos de datos, archivos de aplicación y estaciones de trabajo de los que
desea realizar el backup y la frecuencia con que se realizará.
Backup incremental
Realizar un backup incremental significa que primero efectúa un backup completo, es decir, copia todos sus datos y continúa con
el backup incremental. Para ello, realizaría un backup completo un viernes. El lunes siguiente, realizaría el backup de los
cambios producidos desde el viernes y continuaría hasta el jueves.
Con este método, puede estar seguro que siempre tendrá la última versión de un archivo.
Estrategia de generación
La estrategia de generación, también conocida como Abuelo/Padre/Hijo, consta de tres juegos de soportes de backup que van
rotando. El primer juego se etiqueta como ―abuelo‖, el segundo como ―padre‖ y el tercero como ―hijo‖. Después de realizar un
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
73 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
backup completo un viernes, este juego de soportes (juego A) se utilizará para realizar backups incrementales a lo largo de la
semana.
El viernes siguiente realizará un backup completo con un segundo juego de soportes (juego B) y el viernes siguiente usará el
juego de soportes C. Una vez que se ha completado todo el ciclo, empezará de nuevo con el juego de soportes A. Este método
garantiza que, si se produce un desastre o incidente destructivo, sólo perderá los datos de una semana, que son los que tendrá que
recuperar.
Tabla 5.3.1: Estrategia generacional
Torre de Hanoi
Este método es un poco más complejo, pero proporciona un backup de sus datos rentable y seguro. Con esta estrategia, realizará
un backup completo en cinco juegos de soporte independientes, etiquetados como A, B, C, D y E. El juego A se usará cada dos
sesiones de backup. El juego B cada cuatro sesiones, el C cada 8, el D cada 16 y el E cada 32 (o una vez al mes). Esto implica
que, para poder restaurar los datos perdidos, no tendría que mezclar backups parciales. Además, puede usar menos soportes.
Tabla 5.3.2: Torre de Hanoi
LUNES MARTES MIERCOLES JUEVES VIERNES
SEMANA 1
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Completo
(Padre)
SEMANA 2
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Completo
(Padre)
SEMANA 3
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Completo
(Padre)
SEMANA 4
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Incremental
(hijo)
Backup
Completo
(Abuelo)
LUNES MARTES MIERCOLES JUEVES VIERNES
1 2 3 4
A B A C
7 8 9 10 11
A B A D A
14 15 16 17 18
B A E A B
21 22 23 24 25
A C A B A
26 27 28
D A B
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
74 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Parte IV
RECOMENDACIONES DE SOPORTE
Y MANTENIMIENTO DEL
SOFTWARE
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
75 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
INTRODUCCIÓN:
La creencia habitual de un equipo de trabajo de que su tarea ha finalizado cuando instala y pone en funcionamiento el software
en las instalaciones del cliente no puede ser más errónea. Un producto software envuelve muchos aspectos y características que
provocan que sea totalmente necesario supervisar su funcionamiento correcto durante un tiempo después de la entrega del
mismo. Ante la dificultad que entraña garantizar el comportamiento correcto del programa en circunstancias no previstas, los test
de aceptación del producto incluyen pruebas a largo plazo del software (a petición del cliente). A esta fase de supervisión se le
denomina fase de operación. Sólo cuando termina esta fase el cliente acepta definitivamente el producto, que había sido
aceptado provisionalmente al ser entregado (fase de transferencia). Más tarde, es posible que el software necesite ser
modificado, ya sea consecuencia de la detección de errores o bien ante nuevas exigencias y/o necesidades del usuario del
sistema. A esta fase se le conoce como fase de mantenimiento. Es importante reseñar que durante estas fases de operación y
mantenimiento (OM) se debe generar y actualizar el denominado documento de historia del proyecto (DHP); documento que
incluye todos los errores (y sus correcciones) y/o modificaciones realizadas en el producto. Este documento es de gran ayuda
para poder calcular y analizar la fiabilidad del sistema software a la vez que evaluar el rendimiento del equipo de trabajo.
Un proyecto informático se desarrolla para la consecución de un Sistema hardware, software o combinación de ambos. La
responsabilidad principal se centra en el software, ya que el coste de mantenimiento hardware cada vez es menos importante.
Las empresas de hardware basadas en el mantenimiento han sufrido graves problemas de supervivencia, ya que este tipo de
mantenimiento no supera el 8% del mantenimiento total de un sistema informático. Por este motivo, nos centraremos
principalmente en el estudio del mantenimiento del software.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
76 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
INGENIERÍA Y MANTENIMIENTO
DEL SOFTWARE:
No es el mismo tipo de mantenimiento el del software que el de hardware, como primera aproximación al mantenimiento del
software lo definiremos como el conjunto de medidas que hay que tomar para que el sistema siga trabajando correctamente.
Entre las características sobresalientes del mantenimiento del software destacan:
El software no envejece.
El mantenimiento del software supone adaptar el paquete o sistema objeto del mismo a nuevas situaciones como:
Cambio de hardware.
Cambio de software de base (S.O.).
Todo sistema software conlleva mejoras o añadidos indefinidamente.
Al cerrar todo proyecto se debe considerar y prever las normas del mantenimiento del sistema (tanto en connotaciones hardware
como software).
EL CICLO DE VIDA Y EL MANTENIMIENTO
DEL SOFTWARE:
Las fases principales en el Ciclo de Vida del Software son:
- Análisis y Definición de Requisitos.
- Especificación.
- Diseño.
- Programación (escritura del código).
- Prueba e instalación.
- Operación y mantenimiento.
Según ANSI-IEEE, el mantenimiento del software es la modificación de un producto software después de su entrega al cliente o
usuario para corregir defectos, para mejorar el rendimiento u otras propiedades deseables, o para adaptarlo a un cambio de
entorno.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
77 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
COSTOS DEL MANTENIMIENTO:
El costo del mantenimiento de un producto software a lo largo de su vida útil es superior al doble de los costos de su desarrollo.
Tabla 5.2.1: Evolución de los costes del mantenimiento
FECHAS % MANTENIMIENTO
Años 70 35% - 45%
1980 - 1984 55%
1985 - 1989 65%
Años 90 70% - 80%
Años 2000 85% - 95%
Por norma general, el porcentaje de recursos necesarios en el mantenimiento se incrementa a medida que se genera más
software. A esta situación se le conoce como: Barrera de Mantenimiento.
Las causas a las que se debe este incremento de trabajo de mantenimiento son:
1) Gran cantidad de software antiguo (más de 10 años); aún siendo construidos con las mejores técnicas de diseño y
codificación del momento (rara vez), su creación se produjo con restricciones de tamaño y espacio de almacenamiento y
con herramientas desfasadas tecnológicamente.
2) Los programas sufren migraciones continuas de plataformas o SSOO.
3) El software ha experimentado modificaciones, correcciones, mejoras y adaptaciones a nuevas necesidades de los usuarios.
Además, estos cambios se realizaron sin técnicas de reingeniería o ingeniería inversa, dando como resultado sistemas que
funcionan con baja calidad (mal diseño de estructuras de datos, mala codificación, lógica defectuosa y escasa
documentación).
Como consecuencia de estos grandes costos, es que el costo relativo de reparar un error aumenta considerablemente en las
últimas fases del ciclo de vida del software.
Las razones por las que es menos costoso reparar defectos en las primeras fases del ciclo de vida software son:
Es más sencillo cambiar la documentación que modificar el código.
Un cambio en las fases posteriores puede repercutir en cambiar toda la documentación de las fases anteriores.
Es más sencillo detectar un error en la fase en la que se ha introducido que detectarlo y repararlo en fases posteriores.
Un defecto se puede ocultar en la inexistencia o falta de actualización de los documentos de especificación o diseño.
Existen otra serie de costes intangibles del mantenimiento del software, que son:
Oportunidades de desarrollo que se han de posponer o que se pierden debido a los recursos dedicados a las tareas de
mantenimiento.
Insatisfacción del cliente cuando no se le satisface en un tiempo debido una solicitud de reparación o modificación.
Los cambios en el software durante el mantenimiento también introducen errores ocultos.
Perjuicios en otros proyectos de desarrollo cuando la plantilla tiene que dejarlos o posponerlos debido a una solicitud de
mantenimiento.
En conclusión, la productividad en LDC (líneas de código) por persona y mes durante el proceso de mantenimiento puede llegar
a ser 40 veces inferior con respecto al proceso de desarrollo.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
78 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
TIPOS DE MANTENIMIENTO: Existen 4 tipos de mantenimiento:
Correctivo.
Adaptativo.
Perfectivo.
Preventivo.
Mantenimiento correctivo:
Tiene por objetivo localizar y eliminar los posibles defectos de los programas. Un defecto en un sistema es una característica del
sistema con el potencial de provocar un fallo. Un fallo se produce cuando el comportamiento de un sistema difiere con respecto
al comportamiento definido en la especificación.
Los fallos en un sistema software pueden ser:
Procesamiento (salidas incorrectas de un programa).
Rendimiento (tiempo de respuesta demasiado alto).
Programación (inconsistencias en el diseño).
Documentación (inconsistencias entre la funcionalidad de un programa y el manual de usuario).
Mantenimiento adaptativo:
Consiste en la modificación de un programa debido a cambios en el entorno (hardware o software) en el que se ejecuta. Desde
cambios en el sistema operativo, pasando por cambios en la arquitectura física del sistema informático, hasta en el entorno de
desarrollo del software.
Este tipo de mantenimiento puede ser desde un pequeño retoque hasta una reescritura de todo el código. Los cambios en el
entorno de desarrollo del software pueden ser:
En el entorno de los datos (p.e. cambiar sistema de ficheros por BD relacional).
En el entorno de los procesos (p.e. migración a plataforma con procesos distribuidos).
Este mantenimiento es cada vez más frecuente debido a la tendencia actual de actualización de hardware y SSOO cada poco
tiempo.
Mantenimiento perfectivo:
Conjunto de actividades para mejorar o añadir nuevas funcionalidades requeridas por el usuario.
Se divide en dos:
Mantenimiento de Ampliación: incorporación de nuevas funcionalidades.
Mantenimiento de Eficiencia: mejora de la eficiencia de ejecución.
Mantenimiento preventivo:
Modificación del software para mejorar las propiedades de dicho software (calidad y mantenibilidad) sin alterar sus
especificaciones funcionales. Incluir sentencias que comprueben la validez de los datos de entrada, reestructuración de los
programas para aumentar su legibilidad o incluir nuevos comentarios. Este tipo de mantenimiento utiliza las técnicas de
ingeniería inversa y reingeniería. El mantenimiento para la reutilización especializado en mejorar la reusabilidad del software se
incluye en este tipo.
ACTIVIDADES DE MANTENIMIENTO:
Las actividades de mantenimiento se agrupan en tres categorías funcionales:
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
79 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Comprensión del software y de los cambios a realizar (Comprender): es necesario el conocimiento a fondo de la funcionalidad,
objetivos, estructura interna y requisitos del software. Alrededor del 50% de tiempo de mantenimiento se dedica a esta actividad,
a consecuencia de lo cual, las herramientas CASE incorporan utilidades que automatizan este tipo de tareas aumentando de
manera notable la productividad.
Modificación del software (Corregir): crear y modificar las estructuras de datos, la lógica de procesos, las interfaces y la
documentación. Los programadores deben evitar los efectos laterales provocados por sus cambios. Esta actividad representa ¼
del tiempo total de mantenimiento. Realización de pruebas (Comprobar): realizar pruebas selectivas que nos aseguren la
corrección del software.
Tabla 5.2.2: Importancia de las actividades de mantenimiento
CATEGORIA ACTIVIDAD % TIEMPO
Comprensión del software y de los
cambios a realizar
Estudiar las peticiones 18 %
Estudiar la documentación 6 %
Estudiar el código 23 %
Modificación del software Modificar el código 19 %
Actualizar la documentación 65 %
Realización de pruebas Diseñar y realizar pruebas 28 %
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
80 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
DIFICULTADES DEL MANTENIMIENTO:
El proceso de mantenimiento no debe deteriorar la calidad del software. ¿ Cómo debe mantenerse el software para preservar su
fiabilidad ?.
CÓDIGO HEREDADO:
La mayor parte del software en la actualidad está formado por código antiguo ―heredado‖ (legacy code); esto es, código
desarrollado hace tiempo, con técnicas y herramientas en desuso y, para más INRI, por personas que actualmente no se encargan
de su mantenimiento. Además puede que incluso este código haya pasado varias actividades de mantenimiento; y por otra parte,
el volver a reescribirlo no compensa por la carga financiera que supuso y la necesidad de su amortización.
Leyes del Mantenimiento del Software:
Continuidad del cambio.- Un programa utilizado en un entorno del mundo real debe cambiar si no quiere dejar de ser
usado. Esto se debe a que surgen nuevas funcionalidades, nuevo hardware puede permitir mejoras en el software, se
corrigen defectos, se instala en otro sistema operativo/máquina o el software necesita ser más eficiente.
Incremento de la Complejidad.- Cuando se realizan cambios en un programa la estructura se hace más compleja si no se
utilizan técnicas de ingeniería del software.
Evolución del programa.- Es un proceso autorregulado. Se mantienen las tendencias e invariantes de las propiedades del
programa.
Conservación de la Estabilidad Organizacional.- La carga que supone el desarrollo de un programa es aproximadamente
constante e independiente de los recursos dedicados a lo largo del tiempo de vida del mismo.
Conservación de la Familiaridad.- El incremento en el número de cambios introducidos con cada versión (release) es
aproximadamente constante.
PROBLEMAS DEL MANTENIMIENTO:
a) Es habitual realizar el mantenimiento de forma ad hoc en un estilo libre del programador. Esto es debido a que no
existen o son poco conocidos los métodos, técnicas y herramientas que proporcionan soluciones globales al problema
del mantenimiento.
b) Después de cada cambio los programas tienden a ser menos estructurados. Como consecuencia se produce una
documentación desfasada, código que no cumple los estándares, incremento en el tiempo de comprensión de los
programas o incremento de los efectos secundarios de los cambios.
c) Los sistemas que son mantenidos son cada vez más difíciles de cambiar.
d) Los usuarios participan poco en el desarrollo del software, con el riesgo de que no satisfaga sus necesidades y
aumenten los esfuerzos en el mantenimiento.
e) Problemas de gestión. Existe una visión de que el trabajo de mantenimiento es de una escala inferior al trabajo de
desarrollo de software. Se realiza mantenimiento precipitado, no documentado adecuadamente y poco integrado en el
código existente.
EFECTOS SECUNDARIOS DEL MANTENIMIENTO:
En el mantenimiento del software existe el riesgo del llamado efecto bola de nieve; que consiste en que los cambios introducidos
por una petición de mantenimiento conllevan efectos secundarios que implican futuras peticiones de mantenimiento.
Efectos secundarios sobre el código:
2) Cambios en el diseño que suponen muchos cambios en el código.
3) Eliminación o modificación de un subprograma.
4) Eliminación o modificación de una etiqueta.
5) Eliminación o modificación de un identificador.
6) Cambios para mejorar el rendimiento.
7) Modificación de la apertura/cierre de ficheros.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
81 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
8) Modificación de operaciones lógicas.
Efectos secundarios sobre los datos:
1) Redefinición de constantes locales o globales.
2) Modificación de los formatos de registros o archivos.
3) Cambio en el tamaño de una matriz u otras estructuras similares.
4) Modificación de la definición de variables globales.
5) Reinicialización de indicadores de control o punteros.
6) Cambios en los argumentos de los subprogramas. Es importante una correcta documentación de los datos.
Efectos secundarios sobre la documentación:
1) Modificar el formato de las entradas interactivas.
2) Nuevos mensajes de error no documentados.
3) Tablas o índices no actualizados.
4) Texto no actualizado correctamente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
82 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
SOLUCIONES AL PROBLEMA DEL
MANTENIMIENTO:
SOLUCIONES DE GESTIÓN:
Los Directivos de la corporación CATI deben ser conscientes de:
1) Importancia de las tecnologías de la información para la organización.
2) El software es activo corporativo y puede suponer una venta competitiva.
Deben centrar las soluciones en dos aspectos: recursos y calidad.
Recursos dedicados al mantenimiento:
El recurso clave es el humano. Lo habitual es que esta tarea sea asignada a personal nuevo recién incorporado a la organización,
sin experiencia en el uso de las técnicas de ingeniería del software y sin conocimiento del programa; y como consecuencia de
ello, raramente consiguen encontrar y corregir defectos o realizar modificaciones. Por lo tanto una mejora indispensable es
constituir un grupo de programadores dedicados al mantenimiento de código antiguo.
Gestión de la calidad:
Para resolver el problema a largo plazo es necesario mejorar la calidad del proceso en su conjunto.
Técnicas de gestión de la calidad del software:
Uso de técnicas estándares para descomponer el software en entidades funcionales.
Uso de estándares de documentación del software.
Diseño paso a paso en cada nivel de descomposición del software.
Uso de código estructurado.
Definición a priori de todas las interfaces y estructuras de datos antes del diseño.
Uso de métricas de producto (miden atributos del producto software) y métricas de procesos (evalúan la calidad del
proceso).
Uso de mejores herramientas y entornos de desarrollo de software.
Gestión estructurada del mantenimiento:
Si el mantenimiento no es estructurado se sufren las consecuencias: dolorosa evaluación del código, complicada comprensión
del sistema por la pobre documentación interna, dificultad para descubrir las consecuencias de los cambios en el código y la
imposibilidad de realizar pruebas de regresión (repetición de pruebas anteriores) debido a la inexistencia de registros de pruebas.
Sugerencias para mantener código heredado:
Obtener la máxima información sobre el programa antes de que surja el mantenimiento.
Conocer, entender y, en caso de no existir, dibujar el flujo de control del programa.
Evaluar la documentación.
Añadir comentarios al código para ayudar a su comprensión posterior.
Usar las ayudas de los compiladores.
Respetar el estilo y formato al realizar cambios.
Señalar las instrucciones del código cambiadas.
Guardar copia de seguridad antes de eliminar código.
Usar variables propias para evitar efectos secundarios.
Mantener un registro completo de las actividades de mantenimiento.
Añadir comprobación de errores.
Es necesario realizar un estudio de las ventajas e inconvenientes de reescribir un programa de nuevo o de mantenerlo.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
83 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Organización del equipo humano:
Es necesario organizar el equipo de mantenimiento, dividiendo claramente las actividades entre sus miembros y estableciendo
los procedimientos de evaluación, control, supervisión e información de cada solicitud de mantenimiento.
Se pueden establecer las siguientes responsabilidades:
Controlador del mantenimiento: persona que recibe la solicitud de mantenimiento y que asume la responsabilidad de su
gestión y seguimiento integral.
Supervisor del sistema software: persona encargada de conocer la aplicación a mantener y de informar sobre cada
solicitud de mantenimiento que le afecte.
Gestor de la configuración: persona que mantiene actualizada la configuración del software.
Desarrollador de mantenimiento: persona que realiza los cambios en la aplicación.
Documentación de los cambios:
Las solicitudes de mantenimiento deben hacerse mediante un formulario estandarizado. El equipo de mantenimiento debe
elaborar un informe de cambios para cada solicitud.
Este informe de cambios debe incluir:
1) Información del programa.
2) Tamaño (LDC) del programa fuente.
3) Tamaño del ejecutable.
4) Lenguaje de programación utilizado.
5) Fecha de instalación del programa.
6) Número de ejecuciones del programa desde la instalación.
7) Número de fallos.
8) Número de sentencias añadidas, modificadas y eliminadas en el cambio.
9) Número de personas-hora.
10) Identificación de la persona responsable.
11) Identificación de la solicitud de mantenimiento.
12) Tipo de mantenimiento.
13) Fechas de comienzo y final del mantenimiento.
14) Beneficios netos que supone el cambio.
SOLUCIONES TÉCNICAS:
Son de dos tipos: herramientas y métodos.
Las herramientas sirven para soportar de forma efectiva los métodos; han sido diseñadas para que el equipo de mantenimiento
comprenda el programa y pruebe sus modificaciones asegurando que no han introducido errores. Estas herramientas son:
formateador, analizador estático, estructurador, documentador, depurador interactivo, generador de datos de prueba y
comparador.
Los principales métodos utilizados en el mantenimiento son:
Reingeniería: consiste en el examen y modificación de un sistema para reconstruirlo de una nueva forma. Rehacer algo
que otro ha realizado tratando de reutilizar.
Ingeniería Inversa: proceso de analizar un sistema para identificar sus componentes e interrelaciones, así como crear
representaciones del sistema en un nivel de abstracción más elevado. Reinterpretar un programa para documentarlo.
Reestructuración del software: consiste en la modificación del software para hacerlo más inteligible y más fácil de
cambiar. No cambia el nivel de abstracción.
Transformación de Programas: método formal que parte de un programa ya existente para obtener un programa
equivalente por medio de transformaciones sucesivas.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
84 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
MANTENIBILIDAD:
También denominada facilidad de mantenimiento del software, se define como la medida cualitativa de la facilidad de
comprender, corregir, adaptar y/o mejorar el software.
Los factores que influyen en la mantenibilidad son:
Falta de cuidado en la fase de diseño, codificación o prueba.
Pobre configuración del producto software.
Adecuada cualificación del equipo de desarrolladores del software.
Estructura del software fácil de comprender.
Facilidad de uso del sistema.
Empleo de lenguajes de programación y sistemas operativos estandarizados.
Estructura estandarizada de la documentación.
Documentación disponible de los casos de prueba.
Incorporación en el sistema de facilidades de depuración.
Disponibilidad del equipo hardware para realizar el mantenimiento.
Disponibilidad de la persona o grupo que desarrolló originalmente el software.
Planificación del mantenimiento.
Existen distintas clases de métricas de la mantenibilidad:
De esfuerzo: indican el tiempo dedicado a las diversas tareas.
De complejidad.
De estructura.
DISTINTOS ENFOQUES PARA LA FACILIDAD DE MANTENIMIENTO:
Una primera aproximación externa sería medir el proceso de mantenimiento; si es efectivo, entonces el producto es mantenible.
En esta línea se pueden utilizar medidas de la cualificación del equipo de mantenimiento, de las herramientas disponibles y de la
madurez del proceso.
Otra aproximación a la cual se recurre a menudo consiste en identificar atributos internos del producto y determinar cuáles son
predictivos. Se basa en la métrica ―tiempo medio de cambio‖ (TMC); que es el tiempo que transcurre desde que se recibe la
solicitud de cambio hasta que el sistema cambiado es de nuevo operativo. Esta medida se obtiene de las siguientes variables:
tiempo que se tarda en analizar la solicitud de cambio, tiempo de especificación y diseño del cambio, tiempo activo para
implementar el cambio y tiempo en probarlo y distribuirlo.
Cuantos más atributos cualitativos se gestionen durante el desarrollo del software, mejor será su facilidad de mantenimiento
(mantenibilidad). Desde un enfoque de calidad, estos atributos son: fiabilidad, modularidad, facilidad de comprensión, facilidad
de prueba y facilidad de expansión.
IMPACTO DE LA TECNOLOGÍA DE LA ORIENTACIÓN A OBJETOS EN LA FACILIDAD DE MANTENIMIENTO:
El factor clave de la OO en la mantenibilidad es la herencia. La herencia hace que las dependencias entre los objetos sean
difíciles de encontrar y analizar. Con una herencia de 3 niveles se puede obtener aproximadamente una mejora en la
mantenibilidad del 20%; no obstante, en cuanto aumentan los niveles aumenta la complejidad y el nivel de comprensión del
programa, facilitando de este modo la reutilización pero, por el contrario, reduciendo considerablemente la mantenibilidad.
Existen diversas métricas de software OO, de las que cabe destacar en relación a la mantenibilidad:
Métodos ponderados por clase (MPC) y complejidad ciclomática; miden la complejidad de la clase.
Respuesta para una clase (RPC) y tamaño de un método; miden la facilidad de comprensión.
Árbol de profundidad de herencia (APH), miden la facilidad de mantenimiento de una clase.
Porcentaje de comentarios; evalúa la reutilización, mantenibilidad y facilidad de comprensión del código.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
85 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
MANTENIMIENTO DEL FUTURO
La tendencia actual se dirige hacia los sistemas basados en componentes reutilizables COTS (commercial off-the-shelf). Esto
conlleva importantes cambios en el proceso de desarrollo y mantenimiento del software, lo que requiere nuevas cualificaciones
del personal:
1) Arquitectos del sistema.
2) Especialistas en cada área tecnológica.
3) Especialistas en integración y test.
Ante esta disyuntiva, las organizaciones de software deberán decidir entre desarrollar, reutilizar o comprar (contratar) software.
Factores o criterios que influirán en la toma de decisión son el coste, la disponibilidad, la experiencia del
desarrollador/vendedor/contratante, la conformidad con los requisitos, la posibilidad de cambios y su futuro soporte.
El mantenimiento culmina el proyecto principal, a la vez que rebaja la calidad (en otras ingenierías no). La mantenibilidad se
centra en el diseño del software pensando en el mantenimiento posterior.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
86 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Parte V
PLANES DE PRUEBA PARA
SOFTWARE APLICATIVO EN LA
UNIVERSIDAD LA GRAN
COLOMBIA
Plan de Prueba de aseguramiento de calidad
Fecha:
Forma: Descripción:
Analista: Revisor:
Revisión de aseguramiento de calidad
ACTIVIDAD SI NO No Aplica Información Adicional
¿Existe alguien en su
organización responsable por
los procesos de pruebas?
¿Tiene y usa un estándar
para el plan de pruebas?
¿Tiene y usa un estándar
para las pruebas de unidad?
¿Tiene y usa un estándar
para el reporte de la ejecución
de las pruebas?
¿La planeación y ejecución
de pruebas se realiza en
paralelo con el proceso de
desarrollo de software?
¿Se verifica que las
especificaciones estén
correctamente
implementadas?
¿Se verifica que las
expectativas del cliente sean
satisfechas?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
87 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
¿Los probadores verifican
la precisión y completitud de
productos internos tales como
el documento de
Requerimientos o los diseños?
¿Los probadores reportan
los defectos al equipo de
desarrollo de software para
corrección?
¿Los probadores identifican
la prioridad de los riesgos del
negocio para el desarrollo del
plan de pruebas?
¿Existen objetivos de
pruebas medibles para cada
sistema de software que está
siendo probado?
¿Los objetivos están
alineados con los riesgos del
negocio?
¿Se usan métricas para
mejorar el proceso de
aseguramiento de la calidad?
¿Los probadores han
definido pronósticos de
defectos basándose en datos y
experiencias previos?
¿Existe un proceso de
mejoramiento continuo para
su proceso de pruebas?
¿Los tipos de defectos están
identificados?
¿Se registra, acumula y se
usan los datos de fallas para
evaluar la efectividad del
proceso de pruebas y producir
un software libre de defectos?
¿Se usan métricas para
planear y evaluar el proceso
de pruebas?
¿Tiene un proceso de
entrenamiento de probadores?
¿El uso de una herramienta
automatizada de pruebas es
parte significativa de su
proceso?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
88 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de Prueba de estándares de presentación y funcionalidad de la aplicación para formas
Fecha:
Forma: Descripción:
Analista: Revisor:
Revisión de estándares de presentación
ACTIVIDAD SI NO No Aplica Información Adicional
¿Están claramente definidos
los bloques de información
(Frames)?
¿Tiene los encabezados de
título y nombre de aplicación
correctos?
¿Las etiquetas de los
campos son claras y
representativas?
¿Los campos de despliegue
están completamente
inhabilitados y del color
respectivo?
¿Los campos de solamente
despliegue están claramente
identificados?
¿Tiene los colores estándar?
¿Los campos fecha tienen el
formato DD-MON-RRRR y
se puede ingresar los datos
como Ej: 12ago2001?
Cuando se tiene una forma
con múltiples tabs, ¿se conoce
cuál es el registro padre de los
tabs?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
89 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
¿La forma tiene la
dimensión correcta?
¿Los Radio Groups tienen
un frame que los abarca?
¿Los campos están
alineados en forma correcta?
¿Los campos requieren y
tienen Tooltip?
¿Los LOVs tienen el
tamaño y la posición
adecuados (que no requieran
ser movidos)?
¿Los LOV‘s están
heredados?
Revisión de aseguramiento de calidad
ACTIVIDAD SI NO No Aplica Información Adicional
¿Las barras de Scroll son
blancas y de ancho 15?
¿Están los RadioButtons
azules y heredan de la
propiedad VA_RadioButtons?
¿Están habilitados los
botones del toolbar de manera
adecuada y corresponden con
las teclas de función?
Revisión de funcionalidad
ACTIVIDAD SI NO No Aplica Información Adicional
¿La forma realiza la función
que se necesita?
¿La forma ha sido ingresada
a SIABD con todas las
funciones, tablas y roles
asociados?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
90 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
¿Los datos de la forma
cambian en forma
sincronizada?
¿Es rápido y fácil el manejo
de la forma?
Cuando se cambia el valor
de un campo de entrada, ¿se
modifica también el campo de
despliegue?
¿Los bloques hijos están
coordinados con el bloque
padre en consulta, borrado y
cuando se limpia la forma?
Los campos que hacen
referencia a datos de otras
tablas ¿tienen cada uno su
lista de valores?
¿Las listas de valores son
lentas para recuperar la
información?
¿El tiempo de respuesta es
adecuado?
¿El orden de navegación de
los campos es el correcto?
¿Los mensajes graves son
manejados adecuadamente?
¿Los campos Valídate from
LOV funcionan
adecuadamente?
¿Si el reporte requiere
mucho tiempo, esto le es
notificado al usuario?
¿Está la forma
documentada?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
91 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
¿Si llama reportes, la
extensión de los reportes es la
correcta? (NO rdf, debe estar
sin extensión).
Revisión del código y los datos que retorna
ACTIVIDAD SI NO No Aplica Información Adicional
¿Se ha realizado el proceso
de prueba formal?
¿Está la mayor cantidad de
código en la base de datos?
¿Se ha realizado el proceso
de afinamiento SQL?
Comentarios adicionales
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
92 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de Prueba de estándares de presentación y funcionalidad de la aplicación para reportes
Fecha:
Reporte: Descripción:
Analista: Revisor:
Revisión de estándares de presentación
ACTIVIDAD SI NO No Aplica Información Adicional
¿El reporte tiene el nombre
del sistema correcto?
¿El reporte tiene los
encabezados de título y
nombre de aplicación
correctos?
¿El reporte tiene la fecha de
generación?
¿El reporte tiene el número
de página y el total de
páginas?
¿Están claramente definidos
los bloques de información?
¿Las etiquetas de los
campos son claras y
representativas?
¿El reporte tiene los colores
estándares? Negro y tonos de
grises.
¿Los campos fecha tienen el
formato DD-MON-YYYY?
¿Los campos están
alineados en forma correcta?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
93 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
¿Se ha utilizado la
indentación para mejorar la
legibilidad del reporte?
¿El reporte tiene
enumeradas las filas?
¿El reporte tiene subtotales
y totales de control?
¿El reporte tiene, en la parte
superior, las condiciones de
generación del listado?
¿El reporte tiene el visto
bueno del usuario?
Revisión del código
ACTIVIDAD SI NO No Aplica Información Adicional
¿Se ha hecho revisión por
pares?
¿Se ha realizado el proceso
de afinamiento SQL?
¿Está la mayor cantidad de
código en la base de datos?
¿El código cumple con los
estándares?
¿Está el reporte registrado
en SIABD?
Comentarios adicionales
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
94 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de Prueba de estándares de tablas
Fecha:
Tabla: Descripción:
Analista: Revisor:
Estándares de las tablas
ACTIVIDAD SI NO No Aplica Información Adicional
¿El nombre de la tabla es
correcto
según los estándares?
¿Tiene las descripciones de
la columna en la base de
datos?
¿Tiene las llaves e índices
adecuados?
¿La tabla ha sido recreada
teniendo en cuenta su uso?
Comentarios adicionales
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
95 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de Prueba de estándares de funciones y procedimientos
Fecha:
Func/Proc: Descripción:
Analista: Revisor:
Revisión de estándares
ACTIVIDAD SI NO No Aplica Información Adicional
¿El nombre cumple con los
estándares?
¿El código cumple con los
estándares?
¿Está la
función/procedimiento
documentado?
¿Se ha realizado el proceso
de afinamiento SQL?
¿Se ha registrado en
SIABD?
¿Se usan todas las
variables, constantes y
parámetros?
¿La asignación de valores a
las variables, constantes y
parámetros tiene un
propósito?
¿Son correctas las
validaciones de condiciones?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
96 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Por ejemplo: código no
alcanzable, ciclos infinitos,
división por cero, verificación
de rangos, redondeos.
¿Faltan validaciones?
¿Se manejan todas las
posibles excepciones?
¿Las variables que guardan
datos de columnas de tablas se
han definido de acuerdo con
esto?
Tabla.columna%type
Si se llaman otras funciones
y/o procedimientos, ¿tienen el
número de parámetros y el
tipo de datos adecuado?
Comentarios adicionales
Plan de Prueba de estándares de programación-Código
Objeto: SI NO
Aprobado:
Fecha revisión :
Revisado por:
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
97 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Estándares de programación-Código
Elemento a revisar SI NO No Aplica Información Adicional
Código en general
¿Está el código indentado a,
por lo menos dos espacios?
¿Están ordenadas
alfabéticamente las
constantes, variables y
cursores?
¿Están alineados a la
izquierda las constantes,
variables y cursores?
¿Están alineados a la
izquierda la definición del tipo
de dato de las constantes,
variables y cursores?
¿Está definida sola una
constante, variable o cursor
por línea?
Documentación
¿Está toda la
documentación en una línea
diferente al código que se está
documentando?
¿Comprende la
documentación de funciones/
procedimiento tres partes: una
descripción general de lo que
hace la función o
procedimiento, a descripción
de los parámetros de entrada y
la descripción de los posibles
valores y/o parámetros de
salida?
Parámetros
¿El nombre de los
parámetros empieza con la
letra p minúscula y es
significativo?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
98 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Constantes
¿El nombre de las
constantes empieza con la
letra c minúscula y es
significativo?
Variables
¿El nombre de las variables
empieza con la letra v
minúscula y es significativo?
Cursores
¿El nombre de los cursores
empieza con las letras cur
minúsculas y es significativo?
¿Están los nombres de los
cursores alineados a la
izquierda junto con la
definición del tipo de dato de
las constantes y variables?
Instrucciones Select, Insert, Update y Delete
¿Están todas las
instrucciones Select, Insert,
Update y Delete escritas en
minúsculas, a excepción de
variables que hagan referencia
a campos de las formas?
Instrucciones Select
¿Están las cláusulas Select,
Into, From, Where, Order BY,
Group BY y Having escritas
en líneas diferentes?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
99 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Instrucciones Insert
¿Están las cláusulas Insert
Into y Valúes escritas en
líneas diferentes?
Instrucciones Update
¿Están las cláusulas Update,
SET y Where escritas en
líneas diferentes?
¿Está cada columna que se
actualice en una línea
diferente?
¿Están todas las columnas
que se actualicen alineadas a
la izquierda?
Instrucciones Delete
¿Están las cláusulas Delete
y Where escritas en líneas
diferentes?
Comentarios adicionales
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
100 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de Prueba de estándares de presentación - Formas
Forma: SI NO
Aprobado:
Fecha revisión :
Revisado por:
Estándares de presentación - Formas
Elemento a revisar SI NO No Aplica Información Adicional
Forma
¿Tiene la forma la
descripción y su título de
acuerdo con los estándares?
¿Tiene la forma la
dimensión correcta?
Cuando se tiene una forma
con múltiples tabs, ¿se conoce
cuál es el registro padre de los
tabs?
Título del frame
¿Está el título en mayúscula
inicial?
Si el frame es de un solo
registro, ¿está su título en
singular?
Si el frame es multi-
rregistro, ¿está su título en
plural?
¿Está localizado el título en
la parte superior izquierda del
frame?
Campos
¿Tiene el contenido del
campo la alineación adecuada,
de acuerdo con su tipo de
dato?
Si existen varios campos
organizados verticalmente,
¿están alineados todos a la
izquierda?
Etiquetas
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
101 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Si la organización NO es
tabular, ¿están situadas las
etiquetas a la izquierda del
campo al que pertenecen?
Si la organización SÍ es
tabular, ¿están situadas las
etiquetas en la parte superior
del campo al que pertenecen?
Si la organización SÍ es
tabular, ¿están las etiquetas
centradas?
¿Están las etiquetas en
mayúscula inicial?
¿Están las etiquetas sin los
dos puntos al final?
Si existen varios campos
organizados verticalmente,
¿están alineadas todas las
etiquetas a la derecha?
¿Están las etiquetas
formadas de manera que no
utilicen abreviaturas ni
expresiones de solicitud?
Radio Buttons y Check Box
¿Emplean mayúscula
inicial?
En cuanto a su estructura,
¿emplean orientación en
forma de columna?
En cuanto a su estructura,
¿emplean alineamiento a la
izquierda?
¿Están organizadas las
opciones en el orden esperado,
de mayor a menor frecuencia
de ocurrencia?
¿Están enmarcados dentro
de un frame?
Listas de valores
¿Están organizados los
descriptores alineados a la
izquierda en forma de
columna?
¿Están organizados los
descriptores en orden
alfabético o numérico, según
sea el caso?
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
102 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
¿Están los descriptores en
mayúscula inicial?
¿El ancho es suficiente para
evitar el uso de scroll
horizontal?
¿Tienen las listas de valores
la posición adecuada, de
forma que no requieran ser
movidas?
Scroll
¿Están las barras de scroll
vertical ubicadas a la derecha?
¿Están las barras de scroll
vertical iguales a la altura de
sus campos asociados?
¿Están las barras de scroll
horizontal ubicadas en la parte
inferior?
¿Están las barras de scroll
horizontal iguales al ancho de
sus campos asociados?
¿Son las barras de scroll
blancas?
Botones
Si están ubicados
horizontalmente, ¿están en la
parte inferior de la pantalla?
Si están ubicados
verticalmente, ¿están a la
derecha de la pantalla?
Los botones organizados
horizontalmente, ¿tienen la
misma altura?
Los botones organizados
verticalmente, ¿tienen el
mismo ancho?
¿Está colocada la opción
más frecuente a la izquierda o
en el tope, según corresponda?
¿Usan los botones
mayúscula inicial?
¿Incluye puntos
suspensivos (...) si la acción
despliega otra ventana?
Comentarios adicionales
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
103 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Plan de Prueba de programación - Formas
Forma: SI NO
Aprobado:
Fecha revisión :
Revisado por:
Estándares de programación - Formas
Elemento a revisar SI NO No Aplica Información Adicional
Nombres de los objetos
¿Cumplen los siguientes
objetos con los estándares?
Alert
Bloques
Forma o reporte
Funciones y/o
procedimientos
Gráficos
Librerías
Listas de valores
Object Group
Parámetros
Push Button
Radio Group
RecordGroup
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
104 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Relación
Variables
Atributos visuales
Ventanas
Título del frame
¿Hereda el título del frame
el atributo visual
VA_TITULO?
Campos
¿Hereda el campo el
atributo visual
correspondiente?
¿Hereda el prompt del
campo el atributo visual
VA_ETIQUETA?
Si el campo pertenece a un
bloque multi-rregistros,
¿hereda el atributo visual
VA_CURRENTRECORD?
Si el campo es tipo date,
¿tiene el formato DD-MON-
RRRR?
Si el campo es numérico y
representa dinero, ¿lleva
delante de él el signo de pesos
($)?
Si el campo indica hora,
¿tiene el formato HH24:MI
(hora militar)?
Si el campo es un
porcentaje, ¿está ubicado el
símbolo ―%‖ después del
número?
¿Heredan los radio_buttons
el atributo Visual
VA_RADIO_BUTTON?
¿Heredan las listas de
valores el atributo visual
VA_LOV?
Scroll
¿Tienen las barras de scroll
un ancho de 15 puntos?
Comentarios adicionales
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
105 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
106 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Parte VI
Plan de Contingencia
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
107 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
1. GENERALIDADES
El Plan de Contingencia, deberá de ser probado, validado y analizado regularmente. , los escenarios
asumidos pueden cambiar, por lo que el plan de contingencia deberá de ser revisado a fin de que este
pueda reflejar los cambios que eventualmente ocurran.
Cualquier sospecha de cambio de la situación anteriormente prevista en el Plan de Contingencia
deberá de ser claramente indicada a fin de mantener en vigencia dicho plan.
El plan de contingencia debe ser evaluado y aprobado por la dirección del departamento de sistemas,
e igualmente debe ser dado a conocer a todos los miembros involucrados con dicha estructura funcional.
Este plan de contingencia es de carácter confidencial y su divulgación o alcance será estrictamente
para los funcionarios del área.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
108 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
2. ANÁLISIS DE RIESGO
Este análisis conduce a determinar los puntos o elementos de mayor factibilidad de amenaza dentro del área
funcional.
2.1 Puntos de Impacto
2.1.1 Hardware
2.1.1.1 Equipos de computo
Nombre Área Ubicación (ver
plano)
Tipo Acceso Escala
Valoración
Servidor Intranet Procesamiento 1 Restringido 4
Servidor Nomina Procesamiento 1 Restringido 9
Servidor Contabilidad Procesamiento 1 Restringido 9
Servidor Proxy Procesamiento 1 Restringido 9
Servidor WEB WWW Procesamiento 1 Restringido 9
Servidor Vacuna Soporte red 1 Restringido 6
Servidor Respaldo Procesamiento 1 Restringido 4
Servidor Correo Procesamiento 1 Restringido 7
Servidor Mensajeria Procesamiento 1 Restringido 5
Servidor Biblioteca Procesamiento 1 Restringido 7
Servidor Bachillerato Procesamiento 1 Restringido 7
Servidor Aplicaciones Kyara Procesamiento 1 Restringido 9
Servidor Portal Procesamiento 1 Restringido 6
Servidor Base de Datos Procesamiento 1 Restringido 9
Servidor Virtual Moodle Procesamiento 1 Restringido 7
Servidor DHCP y FTP Procesamiento 1 Restringido 9
Servidor DNS Procesamiento 1 Restringido 9
Servidor respaldo Kyara Procesamiento 1 Restringido 9
PC local (ver
tabla referencias)
Área Ubicación (ver
plano)
Tipo Acceso Numero
equipos
Computador Clase A Desarrollo 2 Restringido 3
Equipo Clase A Mantenimiento 3 Restringido 1
Equipo Clase B Mantenimiento 3 Restringido 1
Equipo Clase A Soporte Aplicación 8 Semi-Rest 1
Equipo Clase A Soporte red 7 Semi-Rest 1
Equipo Clase C Soporte red 7 Semi-Rest 1
Equipo Clase A Soporte Web 9 Semi-Rest 1
Equipo Clase A Soporte Técnico 10 Semi-Rest 1
Equipo Clase C Dirección 6 Restringido 1
Equipo Clase A Secretaria 5 Semi-Rest 1
Equipo Clase D Soporte Web 9 Semi-Rest 1
Equipo Clase E Soporte Técnico 10 Semi-Rest 1
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
109 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
La clase de los equipos está dada por las características de las maquinas en orden de mayor a menor
procesamiento y capacidad de almacenamiento (mayor = Clase A, menor Clase C)
2.1.1.2 Equipos de distribución de energía
Nombre Área Ubicación (ver
plano)
Tipo Acceso Escala
Valoración
UPS 5 KVA Procesamiento 1 Restringido
Regulador 12 KVA Procesamiento 1 Restringido
Batería Planta Procesamiento 1 Restringido
2.1.1.3 Equipos de comunicación
Nombre Área Ubicación (ver
plano)
Tipo Acceso Escala
Valoración
Firewall Procesamiento 1 Restringido
Router Procesamiento 1 Restringido
DTE Procesamiento 1 Restringido
Planta Telefónica Procesamiento 1 Restringido
Switchs Capa 3 Soporte red 1 Restringido
2.1.1.4 Otros dispositivos
Nombre Área Ubicación (ver
plano)
Tipo Acceso Escala
Valoración
Periféricos Bodega 4 Restringido
Periféricos equipos
comunicación
Dirección 6 Restringido
Equipos de video Dirección 6 Restringido
2.1.2 Software
2.1.2.1 Detalles por áreas
Area S.O S.O
Red Aplicativo
Interno
Aplicativo
Externo
Soporte
Dirección (6) X X
Soporte Comunicaciones X X X X
Soporte Técnico X X X X
Soporte Aplicación X
Mantenimiento X X
Desarrollo X X X
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
110 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
2.2 Amenazas Deliberadas
PERSONAL
2.2.1 Robo hardware (Personal Ajeno)
Identificar elemento Faltante
Identificar la seguridad del lugar donde se perpetuo el robo
Analizar nivel importancia del dispositivo (Nivel información y ubicación)
Indagar al personal presente (Si lo hubiere)
Alertar al departamento seguridad para realizar la búsqueda del faltante
Revisar Grabación de video
Solicitar cubrimiento póliza garantía
Instaurar denuncio
2.2.2 Perdida por robo de información
Determinar la ubicación del equipo que maneja dicha información
Determinar el nivel de seguridad y transito de personal del equipo afectado
Revisar los servicios y procesos del sistema para evitar procesos en background
Revisar los logs del sistema
Comparar backup día anterior si existiere con la información existente
Determinar la hora en la cual el archivo o información fue modificada
Determinar la información alterada o modificada
Revisar los accesos de los usuarios al sistema
Revisar accesos de usuarios base de datos si la hubiere
Identificar los enlaces y usuarios que acceden al servicio
Si el quipo estuviere en red local habilitar el sniffer para filtrar paquetes y trafico de la maquina.
Restaurar backup
2.2.3 Daños de software
Se determinara la ubicación del equipo o maquinas afectados
Se determinara el tipo de maquina afectada
Se revisara el tipo de daño o situación
Se determinara el nivel de conocimiento del usuario acerca del uso del dispositivo.
Se revisaran los programas autorizados por la compañía en dicha maquina
Se determinara las aplicaciones instaladas en la maquina
Se comparan las fechas de instalaciones de programas no autorizados con la fecha de reporte de la
falla
Se reportara la falla con respaldo del usuario (firmado)
Se desinstalara el software no autorizado
Se realizara un control de infecciones en la maquina
Si el sistema se vio afectado en su totalidad se realizara la secuencia anterior partiendo de otra
maquina y se restaurara el sistema a su estado original
Se anexara al historial de fallas
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
111 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
2.2.4 Medidas de Prevención
Fortificación entradas a fin de evitar forzamientos de puertas y ventanas sobre todo en aquellos
puntos críticos que requieren especial cuidado por su información y cuantía
Guardia seguridad que revise y controle la entrada de elementos, al igual que un sistema de requisa
simple para evitar que personas extrañas pasen desapercibidas entre los funcionarios
Circuito cerrado TV, que genere constantes grabaciones y el cual pueda ser monitoreado desde
diversos puntos.
Control de accesos en los servidores a fin de mantener un log que permita verificar las entradas y / o
aperturas de sesiones de los diferentes usuarios
Habilitar políticas de seguridad en usuarios para evitar el acceso a los componentes del sistema
2.3 Amenazas Accidentales
PERSONAL
2.3.1 Errores de programación
Identificar el reporte del usuario que solicita la revisión del programa
Identificar la aplicación que genero el error
Determinar el tipo de aplicaron como desarrollo interno o externo
Si es desarrollo externo se enviara requerimiento a proveedor para corrección
Si el error hace parte de procesos básicos, se enviara como máxima prioridad. Y se suspenderá
el modulo o aplicación.
Si es desarrollo interno se revisa el modulo en el cual se genero el error
Se realiza seguimiento a las variables para determinar donde se encuentra la falencia
Si no se encuentra el error en el modulo se verifican los módulos que están referenciados al modulo
en cuestión
Se corrige el error de la aplicación
Se realizaran pruebas en equipos locales
Se suspenderá el servicio hasta la realización de cargue de la modificación
Se prueba el sistema
2.3.2 Errores de configuración
Identificar el reporte del usuario que solicita la revisión del programa
Identificar el error que genero el equipo
Identificar el tipo de error de configuración (sistema o Aplicacion)
Si es error del sistema verificar si lo genero un dispositivo
Si lo genera un dispositivo revisar el controlador confrontandolo con el chip de la tarjeta
correspondiente
Si el controlador esta errado , reinstalar el componente.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
112 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Si el controlador es el adecuado revisar el hardware para conocer su estado.
Si el componente no responde revisar el stock para reemplazar la pieza
Si no existe la pieza solicitar compra
Anexar al historial
2.3.3 Daños en el hardware
Identificar el equipo afectado
Determinar el usuario a cargo de la maquina
Determinar la falla reportada por el usuario
Identificar tipo de usuario para soportar el cambio
Identificar la falla o componente afectado
Determinar el grado de participación del usuario en el elemento descompuesto
Reportar el daño del componente
Solicitar garantía de la parte si la tuviere
Reemplazar parte afectada
Anexar el reporte al historial
2.3.4 Medidas de Prevención
Creación de perfiles y políticas que restrinjan algunas áreas especificas de los sistemas utilizados
por los diferentes usuarios tales como: menús del sistema, menús de configuración y todo aquello
que represente un riesgo para el usuario poco conocedor de la herramienta.
Generar documentación de todos las modificaciones y desarrollos de software a fin de evitar que la
búsqueda o depuración de los errores se convierta en una tarea muy desgastante.
Mantener un buen stock de componentes para evitar largos periodos de estancamiento, por fallas en
los dispositivos de hardware.
Manejar un historial de equipos y fallas con el fin de proporcionar al departamento de soporte una
buena opción para determinar los equipos que reinciden en malos comportamientos, al igual que los
usuarios que hacen uso de estos últimos.
Tener una biblioteca de controladores actualizados y en desuso para evitar demoras en la instalación
de los sistemas informáticos.
Mantener una relación de proveedores de elementos informáticos para solicitar servicios de nuevos
componentes al igual que para expresar servicios y cubrimiento de garantías en forma eficiente.
Manejar copias o discos imágenes de sistemas operativos y hardware a fin de desarrollar en forma
mas eficaz la labor de reinstalación de maquinas.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
113 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
2.4 Amenazas Tecnológicos
FALLA DE SOFTWARE
2.4.1 Error sistema (Fallo S.O)
Identificar el equipo afectado
Determinar la ubicación de la maquina
Determinar el tipo de maquina
Determinar procesos e información manejada por el dispositivo
Revisar estado del equipo
Si falla la carga inicial:
Revisar alimentación interna (fuente voltaje)
Constatar que todos los dispositivos de la maquina estén en funcionamiento y en correcto
estado
Revisar las conexiones internas y externas
Se realizaran pruebas con intercambio de componentes de ser requerido
Recargar la maquina con disco boot (arranque)
Se evaluara el nivel de importancia de los procesos ejecutados en esta maquina
Se enviara reporte a los usuarios afectados
Si es de prioridad elevada se retirar el medio de almacenamiento y se reemplazara el equipo
afectado.
Si el medio de almacenamiento no responde, se restaurara la copia de seguridad
Se reportara el equipo defectuoso a garantía
2.4.2 Incompatibilidad de Software (aplicación)
Se determinara la ubicación donde se realiza la instalación
Se determinara el error generado por la aplicación
Se determinaran las características base para ejecutar la aplicación
Se revisara las características de la maquina que ejecuta la aplicación
Se determinara la versión del software y su soporte
Se establecerá comunicación con el proveedor del producto
Si existe un equipo con características validas se instalara versión de prueba
2.4.3 Incompatibilidad de Hardware
Se determinara la ubicación donde se realiza la instalación
Se determinara el dispositivo que genera incompatibilidad
Se determinaran las características base para instalar el componente
Se revisara el estado del componente
Se revisara los controladores del dispositivo y su funcionalidad con el sistema actual
Si el controlador no es adecuado se buscara uno que se ajuste ala necesidad de la maquina
Se probara el componente en una maquina diferente
Se identificara al proveedor del producto
Se solicitara garantía si la hubiere
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
114 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
2.4.4 Falla de sistema de alimentación regulado.
Se determinara el lugar donde se origino la falla
Se probara el sistema de alimentación
Si fuese especifico se indicara en el plano la ruta del sistema de alimentación
Se revisaran las entradas de voltaje
De ser fallo general se revisara la caída en el sector y se indagara a la empresa de energía
Se reportara falla a los lugares de mayor prioridad
Se cerraran las sesiones y servicios en maquinas soportadas por los sistemas de alimentación
ininterrumpida
2.4.5 Falla de sistema de alimentación ininterrumpido.
Se determinara el lugar donde se origino la falla
Se probara el sistema de alimentación regulado
Se revisaran los puntos críticos soportados por el sistema
Se revisaran las entradas de voltaje en el sistema UPS
Se determinara la carga del sistema UPS
Se deberá revisar las conexiones a los bancos de baterías
Se revisara las rutas del sistema de alimentación UPS
Se calculara la carga actual a fin de conocer el tiempo de respaldo del sistema
Se revisaran las tomas o salidas de energía a fin de evitar equipos electrónicos que sobrecarguen el
sistema
En caso de fallar el sistema UPS y no tener un respaldo para la maquina , se cancelara el servicio y
se habilitara el sistema regulado en forma directa y en lo posible aquellos equipos de un alto nivel
de procesamiento como servidores, deberán reubicarse en otros puntos de alimentación
interrumpida
Se pedirá el servicio al proveedor autorizado o en dado caso se hará efectiva la garantía.
2.4.6 Falla del sistema de comunicación interno
Determinar origen de la solicitud
Revisión red de área local
Si es área especifica desplazar al área afectada
Determinar el estado del equipo de comunicación tanto del área de trabajo como del cuarto
principal
Determinar conexiones físicas de la maquina o maquinas a la red
Determinar conexiones lógicas de la maquina o maquinas a la red
Revisar los equipos afectados a fin de evitar posibles virus o procesos dañinos que consuman el
ancho de banda del canal de comunicación y de encontrase ejecutar plan de contingencia Alerta de
sistemas infectados (Virus)
Ubicar el cuarto de cableado del área o equipo de comunicaron si existiera y revisar su conexión de
enlace física y lógica con el equipo principal si se diera el caso.
Si existiera colisión revisar equipos conectados al dispositivo
Resetear equipo de comunicación
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
115 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Si la colisión continua, revisar los enlaces a otros medios de comunicación (hubs, switch) y
desconectar para determinar si esta desaparece
Revisar configuración del equipo de comunicación al igual los paquetes y el trafico del mismo.
Inicializar equipo de comunicación con configuración por default.
Si el problema persiste, realizar prueba con equipo diferente
Si el dispositivo reemplazado responde en forma positiva:
Se reemplazara maquina afectada y se solicitara garantía de producto
2.4.7 Falla del sistema de comunicación externo
Determinar el área de concentración de los equipos de comunicación que manejan el enlace externo
Verificar estado de equipos de comunicación
Realizar envió paquetes a dirección externa
Si hay respuesta de destino exterior, revisar tráfico de la red interna al exterior
Revisar paquetes emitidos por los usuarios del servicio
Si existe tráfico anormal, revisar puertos de salida de ese trafico
Revisar maquinas que generen el trafico anormal y sus puertos utilizados
Bloquear temporalmente los puertos con el sistema de firewall
Verificar el tráfico
Si no hay respuesta al exterior solicitar servicio al proveedor
Reportar falla a usuarios críticos del sistema
2.4.8 Alerta de sistemas infectados (Virus)
Identificar el equipo afectado de haber sido reportado
Determinar el tipo de equipo que posee la infección
Determinar la información o procesos desarrollados por esta maquina
Identificar el backup de la maquina si existiere
Revisar la actualización o versión actual del sistema de antivirus
Revisar las últimas novedades en virus conocidos y variantes a través de la red
Confrontar la última actualización de la casa de antivirus
Realizar un nuevo scaneo a la maquina infectada en modo a prueba de fallos
Si el virus no es eliminado
Eliminar manualmente entradas no fiables del registro del sistema
Determinar si el virus se localizo en el sector de arranque y si así fuera iniciar un proceso de
vacuna desde un medio diferente (diskettes emergencia)
Reconstruir el master boot record
Ubicar otra utilidad de sistema de antivirus para desinfección
Si el virus persiste, se salvara o recuperara la información y se restaurara el sistema.
2.4.9 Medidas de Prevención
Revisar constantemente o al menos con frecuencia elevada el comportamiento de los sistemas de
alimentación, al igual que controlar la instalación de nuevas maquinas que generen mas carga en los
sistemas de energía
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
116 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Revisar el software disponible y su compatibilidad con los sistemas actuales implantados en la
universidad.
Tener a la mano la información de los proveedores de servicio al igual que las personas a cargo de
los diferentes sistemas, tales como administradores de red, desarrolladores y otro personal
involucrado con el área informática.
Conocer las configuraciones de los sistemas actuales y mantener copia de estas al igual que de las
claves de acceso a los mismos, teniendo la precaución de que estos reposen en la caja de seguridad
del director del área.
Tener relación de todos los puntos de red (plano de red física y lógica), con el fin de realizar
pruebas de comunicación desde medios externos, al igual que para el acceso rápido a estos lugares
Activar servidor de actualización remota para instalar en forma remota las actualizaciones de los
sistemas de antivirus, al igual que para la realización de estadísticas de infección de equipos de
cómputo.
2.5 Amenazas Naturales
2.5.1 Inundación
2.5.1.1 Prevención
Infórmese sobre los planes de contingencia de su oficina en caso de este tipo de desastres. Si no
cuenten con uno, colabore en la organización y elaboración de un plan de emergencia.
Asegúrese de tener siempre en la oficina elementos básicos para cualquier tipo de emergencia:
linterna con pilas, radio transistor, motobombas y copias de los planos de oficina e identificación de
los equipos.
2.5.1.2 Durante el evento
Cierre los registros del agua en el lugar de la inundación.
En la medida de lo posible, manténgase lejos de las tomas que generan corto, de lámparas, objetos o
muebles metálicos que puedan generar descargas de energía.
Utilice durante el evento aisladores de energía.
Cierre los circuitos de energía en el lugar.
2.5.1.3 Después del evento
Cuando termine la inundación, intente salir con tranquilidad. Use las escaleras o salidas de
emergencia.
Diríjase al lugar preestablecido en el plan de contingencia
Apague inmediatamente cualquier fuente de incendio.
Lleve consigo lo mínimo: linternas, pilas, radio transistor. copias de los planos de oficina, la
identificación de los equipos de mayor vitalidad de operación y una motobomba si es necesario.
Identificar el tipo de inundación que ocurrió, para poder mirar en que zona hábil puedo operar y
donde no para el traslado de equipos.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
117 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Desplazar los equipos de vital operación al lugar o zona habilitada.
Identificar los equipos perjudicados con el desastre
Determinar la información manejada por los elementos de computo afectados
Identificar los respaldos de información si este equipo los tuviere
Determinar perdida en componentes
Solicitar las garantías correspondientes
Restaurar la maquina
Identificar donde quedo humedad y observar si hay cableado para determinar el daño.
2.5.2 Terremoto
2.5.2.1 Prevención
Infórmese sobre los planes de contingencia de su oficina en caso de este tipo de desastres. Si no
cuenten con uno, colabore en la organización y elaboración de un plan de emergencia.
Asegúrese de tener siempre en la oficina elementos básicos para cualquier tipo de emergencia:
linterna con pilas, radio transistor y copias de los planos de oficina e identificación de los equipos.
2.5.2.2 Durante el evento
Sitúese bajo una mesa con las manos protegiendo la cabeza; piernas cruzadas, hombros cruzados, o
bajo el marco de una puerta.
Retírese de lámparas, objetos o muebles que puedan caer.
En la medida de lo posible, manténgase lejos de las ventanas, para evitar heridas producidas por los
vidrios.
No utilice las escaleras, mucho menos los ascensores, mientras dure el evento.
2.5.2.3 Después del evento
Cuando termine de temblar, intente salir con tranquilidad y con las manos en la cabeza. Use las
escaleras o las salidas de emergencia, nunca los ascensores.
Diríjase al lugar preestablecido en el plan de contingencia
No regrese a la oficina después del primer temblor, puede haber riesgo de sismos secundarios.
Apague inmediatamente cualquier fuente de incendio.
Cierre los circuitos de energía en el lugar.
No encienda fuegos, utilice las linternas previamente preparadas.
Lleve consigo lo mínimo: linternas, pilas, radio transistor. copias de los planos de oficina, la
identificación de los equipos de mayor vitalidad de operación
No camine bajo las construcciones, pueden derrumbarse.
Identificar el tipo de temblor que ocurrió, para poder mirar en que zona hábil puedo operar y donde
no para el traslado de equipos.
Identificar los equipos perjudicados con el desastre
Determinar la información manejada por los elementos de computo afectados
Identificar los respaldos de información si este equipo los tuviere
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
118 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
Determinar perdida en componentes
Solicitar las garantías correspondientes
Restaurar la maquina
2.5.3 Incendios
2.5.3.1 Prevención
Infórmese sobre los planes de contingencia de su oficina en caso de este tipo de desastres. Si no
cuenten con uno, colabore en la organización y elaboración de un plan de emergencia.
Asegúrese de tener siempre en la oficina elementos básicos para cualquier tipo de emergencia:
linterna con pilas, radio transistor, motobombas, extintores y copias de los planos de oficina e
identificación de los equipos.
2.5.3.2 Durante el evento
ubique las llaves del agua o extintores en el lugar del incendio.
En la medida de lo posible, manténgase lejos de las tomas que generan corto, de papelería, objetos o
muebles que puedan generar la inflamación o propagación del incendio.
Utilice durante el evento extintores de agua pulverizada o de de nieve carbónica.
2.5.3.3 Después del evento
Diríjase al lugar preestablecido en el plan de contingencia
Apague inmediatamente cualquier fuente de incendio.
Lleve consigo lo mínimo: linternas, pilas, radio transistor. copias de los planos de oficina, la
identificación de los equipos de mayor vitalidad de operación y unos extintores si es necesario.
Identificar el tipo de incendio que ocurrió, para poder mirar en que zona hábil puedo operar y donde
no para el traslado de equipos.
Desplazar los equipos de vital operación al lugar o zona habilitada.
Identificar los equipos perjudicados con el desastre
Determinar la información manejada por los elementos de computo afectados
Identificar los respaldos de información si este equipo los tuviere
Determinar perdida en componentes
Solicitar las garantías correspondientes
Restaurar la maquina
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
119 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
GLOSARIO DE TERMINOS INFORMATICOS 1. - Analista de sistema: Puesto o cargo de los profesionales informáticos, se trata de quien determina la problemática concreta que debe
solucionar una aplicación y las líneas generales de cómo debe desarrollarse dicha aplicación para resolver el problema. Es una persona
imprescindible en cualquier departamento de informática.
2. - Applet: Es una aplicación escrita y compilada en java que se difunden a través de la red para ejecutarse en el visualizador
cliente.
3. - Árbol de directorio: La estructura de directorios utilizada en los ordenadores personales es arborescente; esto es, existen directorios
y subdirectorios que, a modo de ramas cada vez más delgadas, van surgiendo de un tronco inicial.
4. - Archivo (fichero): Son documentos computacionales que contienen información (al contrario de instrucciones), como texto,
imágenes, sonido, video, etc. Ej: una carta escrita en un procesador de texto.
5. – Archivo volátil: Archivo temporal, se usan sólo para almacenar datos temporalmente.
6. -ARPAnet: Red de computadores creada en EE.UU. con fines militares, a partir de la cual evolucionó Internet.
7. - Attachment: Archivo computacional que se envía adjuntos a un mensaje de correo electrónico. Puede ser un texto, un gráfico, un
sonido o un programa.
8. – Banco de datos: Es un depósito electrónico de datos.
9. - Base de datos (Database): Estructura de software que colecciona información muy variada de diferentes personas y cosas (es decir,
de una realidad determinada), cada una de las cuales tiene algo en común o campos comunes con todos o con algunos. Se diseñó con la
finalidad de solucionar y agilizar la administración de los datos que se almacenan en la memoria del computador.
10. - BBS (Bulletin Board System): Es como un diario mural electrónico que permite "bajar" o "subir" información a un computador
central, a la que pueden acceder otros usuarios del mismo sistema. Es decir, a través de un software, el computador sirve como fuente de
información y mensajería.
11. - Bit: Es la sigla del inglés Binary Digit (dígito binario) y representa la unidad mínima de información posible, ya que equivale a un
golpe de corriente con un valor que puede ser uno (que equivale a encendido) o bien, cero (apagado).
12. - Bit, BPS (Bits per second): Velocidad de transferencia de los modems. Razón a la cual pueden transmitirse datos por una red. La
cantidad de bits por segundo puede diferir de la razón de baudios puesto que es posible codificar más de un bit en un solo baudio.
13. – Bitnet (Because It's Time NETwork; Porque es tiempo de red): Red académica de ordenadores que sólo hace correo electrónico
y FTP, basada en un protocolo diferente a Internet. Actualmente está interconectada a Internet por medio de gateways o puertas de acceso.
14. - Browser: Programa que se usa para navegar por el Web, es algo así como un paginador que permite pasar páginas. Permite
visualizar documentos WWW.
15. -Buffer: Espacio de memoria que se utiliza como regulador y sistema de almacenamiento intermedio entre dispositivos de un sistema
informático. Así, por ejemplo, las impresoras suelen contar con un buffer donde se almacena temporalmente la información a imprimir,
liberando a la memoria del ordenador de dichos datos, y permitiendo que el usuario pueda seguir trabajando mientras se imprimen los
datos. También existen buffers entre diferentes dispositivos internos del ordenador.
16. - Byte: Unidad de información que corresponde a 8 bits, un carácter que puede ser un número un símbolo o una letra.
17. - Cable coaxial: Cable usado por las redes de cómputo al igual que en la televisión por cable. El nombre se debe a su estructura: un
blindaje metálico rodea a un alambre central. El blindaje protege la señal del alambre interior contra interferencias eléctricas.
18. - CD-ROM: Sigla que significa Compact Disc-Read Only Memory o Disco Compacto-Memoria Sólo de Lectura (no pueden ser
grabados). Contienen información digital, vale decir, datos que pueden ser representado por bits: combinaciones de unos y ceros. Así, a
nivel microscópico, se puede encontrar en los surcos del CD pequeñas muescas y sectores planos, para indicar esos unos y ceros, que son
leídos mediante un rayo láser, que va recorriendo la superficie del disco mientras éste va girando.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
120 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
19. - CGI (Common Getaway Interface): Interface Común de Pasarela. Interface de intercambio de datos estándar en WWW a través
del cual se organiza el envío de recepción de datos entre visualizadores y programas residentes en servidores WWW.
20. - Chat: Conversación en tiempo real a través de Internet. Si bien se aplica preferentemente a conversaciones a través de mensajes
escritos, también existen Chat que incluyen intercambio de sonidos (voz) e imagen (video).
21. - Ciberespacio: El auge de las comunicaciones entre ordenadores --cuyo máximo exponente es la macrored mundial Internet- ha
creado un nuevo espacio virtual, poblado por millones de datos, en el que se puede «navegar» infinitamente en busca de información. Se
trata, en una contracción de cibernética y espacio, del ciberespacio.
22. - Circuito integrado: Circuito electrónico que integra todos los elementos pasivos y activos necesarios para realizar una función.
23. - Código de barra (Bar code): Código impreso utilizado para reconocimiento mediante un lector óptico. Sistema de signos
organizados en barras, que permite acceder a información específica sobre los productos que lo portan.
24. - Compilador: Programa traductor que genera lenguaje máquina a partir de un lenguaje de programación de alto nivel basado en el
lenguaje humano.
25. - Computador: Dispositivo electrónico capaz de recibir un conjunto de instrucciones y ejecutarlas realizando cálculos sobre los datos
numéricos, o bien compilando y correlacionando otros tipos de información.
26. - Computador análogo: Computador que trabaja con señales visuales o acústicas que se convierten en una tensión eléctrica
variable, que se puede reproducir directamente a través de altavoces o almacenar en una cinta o disco. Este tipo de señales son
mucho más vulnerables a los ruidos y las interferencias que las señales digitales.
27. - Computador digital: Ordenador que utiliza, contiene y manipula información convertida al código binario, el lenguaje de números
(ceros y unos) o lenguaje de máquina que emplean los ordenadores para almacenar y manipular los datos.
28. - Constante: Estructura de programación que contiene datos. Puede contener números o caracteres alfanuméricos y el programador le
asigna un nombre único. Mantiene los datos invariablemente, es decir, no cambia ni dentro de la realización ni dentro de la ejecución de
un programa.
29. - Contador: En programación: estructura de programación que contiene datos alfanuméricos y el programador le asigna un nombre
único, se usa generalmente para almacenar la cantidad de veces que se ejecute una acción o ciclo dentro de le ejecución de un programa.
En Internet: dispositivo que cuenta el número de visitas o de impactos que ha recibido un sitio Web. Suele aparecer en la página inicial del
sitio.
30. - Cookie (galleta): Cuando se visita una página Web, es posible recibir una Cookie. Este es el nombre que se da a un pequeño archivo
de texto, que queda almacenado en el disco duro del ordenador. Este archivo sirve para identificar al usuario cuando se conecta de nuevo a
dicha página Web.
31. - Darpa (Defense Advanced Research Projects Agency): Esta agencia del Gobierno norteamericano creó la red ARPANET,
predecesora de la red Internet.
32. - Dato: Unidad mínima de información, sin sentido en sí misma, pero que adquiere significado en conjunción con otras
precedentes de la aplicación que las creó.
33. – Diagrama de bloque: Es un diagrama generalizado de componentes, interconexiones y funciones, por lo general están
constituidos por figuras geométricas sencillas casi siempre rectángulos, etiquetados para representar los diferentes componentes
del hardware y del software, así como sus interconexiones.
34. - Diagrama de flujo: Representación gráfica, mediante la utilización de signos convencionales, del proceso que sigue la información
en un programa determinado. Se utilizan habitualmente en la fase de desarrollo de aplicaciones por los programadores.
35. - Dimm de memoria: Cuyo significado es Dual in line memory module. Memoria RAM de 64 Bits pensada para Pentium II, y que es
bastante sencillo suponer, dispone de una mayor velocidad de transferencia de datos.
36. - Directorio: Conjunto de ficheros agrupados bajo un mismo nombre, lo que facilita su utilización y administración.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
121 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
37. - Disco magnético: Dispositivo de almacenamiento de datos mediante tecnología magnética que consta de un disco en el que se graba
la información, para recuperarla posteriormente gracias a una o varias cabezas lectoras-grabadoras. Los disquettes y los discos duros son
discos magnéticos.
38. - Disquette: Unidad de almacenamiento simple, consistente en un disco de "mylar" recubierto por partículas de óxido ferroso, que
puede ser magnetizada y de esa forma representar información binaria. Los disquettes pueden ser de Doble o Baja Densidad (indica que
en el disquete se puede grabar hasta 720 Kb en ambos tipos de disquetes. En el caso de Macintosh, son 800 Kb) o bien de Alta Densidad
(permite grabar hasta 1.2 Mb en el caso de los 5.25 pulgadas o 1.44 Mb, en los de 3.5 pulgadas).
39. - Domain: Dominio, campo. La palabra domain empieza a hacerse popular entre los cibernautas, ya que hace referencia a una parte
del nombre jerárquico con que se conoce cada entidad conectada a Internet. Sintácticamente, un dominio (domain) Internet se compone de
una secuencia de etiquetas o nombres separados por puntos.
40. - Download: Es la operación de ―bajar‖ o descargar desde un sitio Web (ordenador remoto) determinada información hasta nuestro
PC.
41. - E-mail: Permite enviar y recibir mensajes desde cualquier lugar del mundo. Para eso se necesita de una casilla o dirección
electrónica en la que es posible recibir cartas. También es factible anexar documentos, planillas de cálculo, sonido e imágenes.
42. - Escáner: Periférico de entrada de datos (texto impreso e imágenes). Su función es capturar estos datos y transmitirlos al ordenador
para su posterior manipulación. Los escáneres pueden trabajar con texto impreso, fotografías y dibujos. La palabra correspondiente en
español es rastreador o digitalizador.
43. - Ethernet: Red de área local (LAN) desarrollada por Xerox, Digital e Intel. Es el método de acceso LAN que más se utiliza
(seguido por Token Ring). Ethernet es una LAN de medios compartidos. Todos los mensajes se diseminan a todos los nodos en el
segmento de red. Ethernet conecta hasta 1,024 nodos a 10 Mbits por segundo sobre un par trenzado, un cable coaxial y una fibra
óptica.
44. - Excite: Motor o sistema de búsqueda de documentos a través de Internet.
45. - FAQ (Frequently Asked Questions o Preguntas frecuentes): Documentos que contienen respuestas a dudas frecuentes que suelen
plantear los usuarios de Internet. Por ejemplo, los grupos de discusión (newsgroups) acostumbran tener un FAQ entre sus mensajes. Esta
sigla es de uso común en Internet y permite a los usuarios "novicios" encontrar respuesta a sus dudas.
46. - FidoNET: Protocolo de correo electrónico (e-mail) que se originó de Fido BBS creado por Tom Jennings en 1984. Se encuentran en
uso más de 10,000 nodos FidoNet. Los usuarios deben tener sus redes activas para una hora universal en la mañana temprano, y el
software debe adherirse a la especificación FTSC-001. El formato de dirección FidoNet es zona: red/nodo local; por ejemplo, la dirección
de Boardwatch Magazine es 1:104/555.
47. - Finger: Programa que pregunta a un ordenador remoto quién está conectado allí en ese momento y qué está haciendo.
48. – Forward: Permite reenviar un mensaje de correo electrónico recibido, puede ser a la misma persona que lo envió o a otra dirección
distinta.
49. - Frames: Marco, cuadro. En gráficos por computador, contenido de una pantalla de datos o su espacio de almacenamiento
equivalente. En comunicaciones, bloque fijo de datos transmitidos como una sola entidad. También llamado packet (paquete).
50. - Freeware: Software que se baja de Internet y que se puede copiar gratis en el PC.
51. - FTP (File Transfer Protocol): Herramienta de Internet que permite conectarse a un servidor de una empresa o institución para
"bajar" un documento que se considere relevante.
52. - GigaByte: Unidad de información que corresponde a 1.024 megabytes.
53. - GMT (Greenwich Mean Time): Hora de Referencia de Greenwich.
54. - Graficador: Programa que permite crear y manipular imágenes de ilustraciones en el computador.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
122 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
55. - Hardware: Todos aquellos componentes físicos de un computador, todo lo visible y tangible. Por extensión, se aplica también a
otros componentes electrónicos que no necesariamente forman parte de un computador.
56. - Home pages: En el Web se refiere a las páginas de inicio que enlazan con otras páginas relacionadas.
57. - HTML (Hypertext Markup Language): Lenguaje en que se escriben los documentos que se utilizan en Internet.
58. - HTTP (Hypertext Transfer Protocol): Protocolo de comunicación entre clientes y servidores Web.
59. - Hub (concentrador): Dispositivo que recibe varias líneas de comunicación de la red y las conecta entre sí y a otro sector de la red.
60. - ICQ: es un juego de palabras, que toma su origen en la pronunciación en ingles de estas tres letras. Su pronunciación literal es
aproximadamente "ai si qiu" que suena prácticamente igual que "I seek you" en español "Te busco", y eso es precisamente lo que hace el
programa, busca en Internet a la gente que se tiene registrada y permite ponerte en contacto con ellas.
61. - Impresora: Periférico del ordenador diseñado para copiar en un soporte «duro» (papel, acetato, etc.) texto e imágenes en color
o blanco y negro.
62. - Impresora inyección de tinta: Impresora que funciona mediante una serie de inyectores que proyectan gotas diminutas de tinta, de
manera que la acumulación de gotas permite la formación de letras, imágenes, etc. Esta clase de impresoras se ha impuesto por ofrecer
una alta calidad de impresión a un precio aceptable.
63. - Impresora matriz de punto o de impacto: Se trata de las impresoras que funcionan con un cabezal formado por varias agujas o
"pines", que caen sobre una cinta móvil, de manera similar a la operación de las máquinas de escribir.
64. - Inbox (casillero de entrada): Ventana del cliente e-mail en la que se listan los mensajes recibidos.
65. – Index (índice): En computación en general es un índice en un directorio de las localidades de almacenamiento en un disco de
registros, archivos, programas, etc. en la organización de dispositivos de almacenamiento de acceso aleatorio el índice contiene el nombre
de la clave (identificador del registro), el nombre del archivo o programa y un apuntador, ya sea a una localidad física en el disco o a otro
índice. Su función es similar al índice de un libro. En Internet un índice generalmente es la página principal o de inicio donde están todos
los temas que contiene el sitio para poder acceder a ellos.
66. - Información: Elemento fundamental que manejan los ordenadores en forma de datos binarios.
67. - Informática: Ciencia del tratamiento automático y racional de la información, considerada como soporte de los conocimientos
y comunicaciones, a través de los ordenadores.
68. - Inteligencia artificial: Ciencia que investiga la posibilidad de que un ordenador simule el proceso de razonamiento humano.
Pretende también que el ordenador sea capaz de modificar su programación en función de su experiencia y que «aprenda».
69. – Internet 2: Proyecto que ya está en marcha para mejorar Internet que se trata de la posibilidad de navegar en la red a una velocidad
de 622 megabits por segundo, más de 1000 veces la velocidad actual disponible.
70. - Intranet: Red de servicios similar a Internet, pero limitada a computadores de una sola red computacional. Puede tratarse de una red
aislada, es decir no conectada a Internet.
71. -Java: Lenguaje desarrollado por Sun Microsystems para la elaboración de aplicaciones exportables a la red y capaces de operar sobre
cualquier plataforma a través, normalmente, de visualizadores WWW. Permite crear tanto aplicaciones como pequeños programas para
Internet, redes internas y cualquier otro tipo de redes distribuidas.
72. - JavaScript: Un lenguaje de comandos multiplataforma del WWW desarrollado por Netscape Communications. El código de
JavaScript se inserta directamente en una página HTML.
73. - Kilobyte: Unidad de medida utilizada en informática que equivale a 1.024 bytes.
74. - Lan (Local Área Network): Red de área local. El término LAN define la conexión física y lógica de ordenadores en un entorno
generalmente de oficina. Su objetivo es compartir recursos (como acceder a una misma impresora o base de datos) y permite el
intercambio de ficheros entre los ordenadores que componen la red.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
123 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
75. - Lápiz Óptico: Dispositivo de entrada de datos y apuntador que se compone de un aparato similar a un lápiz con una cabeza lectora
con la que puede escribirse o dibujarse en la pantalla del ordenador (si ésta es sensible a estos aparatos) o en una tableta digitalizadora. En
algunos casos puede funcionar sustituyendo al ratón, aunque su principal función está asociada a programas de dibujo o ilustración.
76. - Link: Enlace entre páginas en el Web. Son sectores de la página (texto o imágenes) que están vinculados a otras páginas, de manera
que basta con hacer clic en ellos para "trasladarse" a otra página, que puede estar ubicada en cualquier servidor de la red.
77. - Listserv: Es el tipo más común de lista de correo en Internet. Sus orígenes están en BITNET.
78. - Login: Identificación o nombre electrónico de un usuario de correo electrónico. Equivale al nombre de la casilla (cuenta) que ese
usuario tiene en el servidor de correo electrónico. Es una entrada de identificación o conexión.
79. - Logout: Salir del sistema, desconexión.
80. - Lycos: Motor o sistema de búsqueda de documentos a través de Internet.
81. - Mailbox: Cliente de correo electrónico.
82. - Mainframes: Grandes ordenadores de muchos procesadores.
83. - Megabyte: Unidad de medida utilizada en informática que equivale a 1.024 Kilobytes.
84. - Memoria Cache: Es una memoria similar a la RAM, pero que tiene la particularidad de mantener por mayor tiempo la información;
por este motivo, es usada como un método de acceso a los datos más rápido que la memoria RAM. Normalmente una Tarjeta Madre
cuenta con 256 Kb y el máximo en la actualidad alcanza a 512 Kb.
85. - Memoria EPROM (Erasable Programmable ROM): ROM programable y borrable. Son las más populares, y su aspecto es muy
característico, en efecto se presenta como un circuito integrado normal, pero con una cubierta de cuarzo al vacío de forma que el chip
pueda ser alcanzado por las radiaciones ultra-violetas. Es un chip programable y reutilizable que conserva su contenido hasta que se borra
bajo luz ultravioleta. Los EPROM tienen una vida de unos cuantos cientos de circuitos de escritura.
86. - Memoria PROM (Programmable ROM): ROM programable que no se puede borrar a diferencia de la EPROM.
87. - Memoria RAM: Corresponde a la sigla del término inglés Random-Access Memory, "memoria de acceso aleatorio". Es un
dispositivo donde se guardan datos en forma temporal. Esta se ocupa durante la operación de los programas y mientras más grande sea,
más fácil y rápido pueden correr los programas.
88. - Memoria ROM (ROM: Read Only Memory): Contiene programas que son piezas fundamentales del sistema y que no pueden ser
borrados ni por el usuario ni por la propia máquina. Es una memoria de las denominadas de acceso directo, es decir, cuyos elementos son
accesibles del mismo modo en su totalidad. Es una especie de memoria inerte en la que no es posible escribir nada y que contiene el
programa de puesta en marcha, escrito en lenguaje máquina, el software de base, un lenguaje, etcétera.
89. - Módem: Aparato que conecta el computador con la línea telefónica. Actúa trasformando las señales digitales del computador (bits)
en tonos que son transmitidos por la línea telefónica. Igualmente, recibe los tonos que vienen por la línea telefónica y los convierte en
señales digitales. Su nombre viene de la abreviación de las palabras MOdulador-DEModulador.
90. - Mouse: Ratón en inglés. Pequeño dispositivo de entrada, con uno o más botones incorporados, que se utiliza con las interfaces
gráficas del usuario.
91. - MS-DOS (MicroSoft Disk Operating System): Programa que controla el funcionamiento del ordenador. Es el sistema operativo
utilizado en la mayoría de los ordenadores personales (PCs) existentes. El nombre de Sistema Operativo de Disco procede de que, en su
mayor parte, el DOS permite la gestión y administración del disco duro y los disquetes.
92. - Multiprogramación: Capacidad de correr (ejecutar) más de un programa de manera simultánea.
93. - Multitarea: Capacidad de posibilitar la ejecución de distintas tareas de forma simultánea.
94. - Nick (Nickname): Apodo con el cual se autodenominan las personas que se conectan a IRC o a cualquier tipo de chat.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
124 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
95. – Operador: En programación se llama operador a todos los símbolos, esto es, que no son números ni letras.
96. – Operadores aritméticos: En programación son todos los símbolos que se utilizan en matemáticas, por ej: +, -, *, /, =, etc.
97. – Operadores de comparación: Símbolos que se usan para comparar valores de variables en programación, comparar dos variables
equivale a decir si una es mayor que la otra, si es menor o si son iguales,etc.
98. – Operadores lógicos: Símbolos que se utilizan para concatenar (unir) sentencias, estos en el lenguaje castellano son por ej: y, o,
si...entonces..., sí sólo sí, etc.
99. - Outbox (casillero de salida): Ventana del cliente e-mail en la que se listan los mensajes enviados.
100. - Padmouse: Almohadilla del ratón. Almohadilla de caucho cubierta de tela en forma cuadrada que provee una superficie
plana para arrastrar el Mouse (ratón).
101. - Pixel: Son los puntos que en una pantalla, componen las imágenes. Cuando la imagen es en blanco y negro, cada pixel equivale a
un bit; cuando es en colores puede tener más dependiendo de la resolución que muestre en la pantalla. Esta palabra es igual en inglés y
español, por una derivación del término inglés Picture Element (Elemento del Gráfico).
102. - Planilla electrónica o planilla de cálculo: Aplicación que muestra en la pantalla una serie columnas (que se distinguen por una
letra) y de filas (que reciben un número), entrecruzadas. La intersección de cada una de éstas se denomina celda y se la distingue por la
letra de la columna y el número de la fila. Con los datos de cada celda, se pueden efectuar operaciones aritméticas de diversa complejidad.
103. - POP (Post Office Protocol): Protocolo de Oficina de Correos. Protocolo diseñado para permitir a sistemas de usuario
individual leer correo electrónico almacenado en un servidor.
104. - Procesador de texto: Dentro de las distintas posibilidades que ofrece el software de aplicación, estos programas trabajan con
textos (con frecuencia incluyen gráficos) y permiten crearlos, modificarlos, imprimirlos, etc.
105. - Proceso: En informática se manejan varias definiciones que aluden a diversos elementos: puede ser simplemente una operación o
conjunto combinado de operaciones con datos, o bien una secuencia de acontecimientos definida única y delimitada, que obedece a una
intención operacional en condiciones predeterminadas. También se denomina proceso a una función que se está ejecutando.
106. - Programa: Redacción de un algoritmo en un lenguaje de programación. Conjunto de instrucciones ordenadas correctamente que
permiten realizar una tarea o trabajo específico.
107. - Programador: Un individuo que diseña la lógica y escribe las líneas de código de un programa de computador.
108. - Realidad Virtual: Sistema de representación de imágenes y objetos mediante computadores, que permite crear una "ilusión casi
real". De esta forma, se puede decir que la Realidad Virtual aparece como un sustituto de la realidad, con el fin de apoyar actividades que
saquen provecho de la simulación.
109. - Red: Es un conjunto de computadores (dos o más) que están unidos entre sí a través de elementos de comunicaciones, que pueden
ser permanentes (como cables) o bien temporales, como enlaces telefónicos u otros. Dependiendo de su tamaño, las redes se clasifican en
"LAN", "MAN" y "WAN". Las "LAN" son las "Local Area Network", es decir, Redes de Area Local que abarcan unos pocos
computadores e impresoras dentro de un espacio reducido. Las "MAN" (Metropolitan Area Network) o Redes de Area Metropolitana,
permiten unir máquinas dentro de un radio limitado de kilómetros (dentro de Santiago, por ejemplo). Y las "WAN" o "Wide Area
Network" que se refiere a redes de nivel mundial, como Internet.
110. - Red Neuronal: Son sistemas que tienen la capacidad de "aprender" a partir de ejemplos. Si un sistema basado en estas redes se usa
para observar una correa transportadora que lleva manzanas, y se va detallando cuáles están buenas y malas (explicando de paso al
sistema, las razones para calificarlas en cada tipo), será posible que ese sistema sepa después identificarlas sin necesidad de más
explicaciones y que incluso con el tiempo vaya perfeccionando su conocimiento.
111. - Registro: Es una pequeña unidad de almacenamiento destinada a contener cierto tipo de datos. Puede estar en la propia memoria
central o en unidades de memoria de acceso rápido.
112. - Reply: Responder un mensaje de correo electrónico recibido.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
125 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
113. - Robot: Máquina que realiza tareas más o menos complejas, según un software específico. Este tipo de aparatos han alcanzado ya
un gran desarrollo y hoy se aplican técnicas de inteligencia artificial en su construcción; el resultado más asombroso de esta evolución es
que los robots no sólo ejecutan trabajos pesados y repetitivos, sino que son capaces de «aprender» de sus propios errores.
114. - Robótica: Disciplina que se ocupa de cuanto concierne al diseño y construcción de robots.
115. - Search: Buscar en Internet a través de un motor o sistema de búsqueda de páginas Web mediante palabras específicas.
116. - Shareware: Software que se entrega sin costo, para que el usuario lo evalúe en un plazo dado. Si le gusta y quiere usarlo
permanentemente, debe pagar su valor comercial.
117. - Simm de memoria: Son los módulos en los que se agrupa la memoria RAM para un computador; cada uno puede contener una
cantidad diferente y por ello existen Simms de 1 Mb, 4 Mb, 8 Mb y más. La sigla SIMM significa "single in-line memory module".
118. - Simulación: Recreación de procesos que se dan en la realidad mediante la construcción de modelos que resultan del desarrollo de
ciertas aplicaciones específicas. Los programas de simulación están muy extendidos y tienen capacidades variadas, desde sencillos juegos
de ordenador hasta potentes aplicaciones que permiten la experimentación industrial sin necesidad de grandes y onerosas estructuras; un
caso típico de esto último seria el túnel de viento en aeronáutica.
119. - Sistema: En informática, este término utilizado sin otra palabra que lo adjetive designa un conjunto de hardware y software
específico.
120. - Sistema operativo: Conjunto de programas fundamentales sin los cuales no sería posible hacer funcionar el ordenador con los
programas de aplicación que se desee utilizar. Sin el sistema operativo, el ordenador no es más que un elemento físico inerte.
Todo sistema operativo contiene un supervisor, una biblioteca de programación, un cargador de aplicaciones y un gestor de ficheros.
121. - SMTP (Simple Mail Transfer Protocol): Protocolo Simple de Transferencia de Correo. Protocolo que se usa para trasmitir
correos electrónicos entre servidores.
122. - Software: A diferencia del hardware, es lo que no se ve, es decir los programas y aplicaciones que están guardadas en un disco
duro, CD-ROM o disquetes.
123. - Spam: Spam es una palabra inglesa que hace referencia a una conserva cárnica: el "Spiced Ham", literalmente "Jamón con
especias". Al no necesitar refrigeración, fue muy utilizada en todo el mundo, sobre todo por el ejército americano, que ayudó mucho en su
difusión. Debido a esto (y a su baja calidad) se ha utilizado este término para hacer referencia a todos los mensajes basura que se reciben
tanto en los grupos de noticias como en los buzones particulares.
124. - Spamer: Persona que hace spam, es decir, crea mensajes y posteriormente los manda a grupos de noticias y correos electrónicos.
125. - Subject: Título o asunto de un correo electrónico, sirve para saber de qué se trata un mensaje antes de abrirlo.
126. - TCP/IP (Transmisión Control Protocol/Internet Protocol): Se trata de un estándar de comunicaciones muy extendido y de uso
muy frecuente para software de red basado en Unix con protocolos Token-Ring y Ethernet, entre otros. Es compatible con productos de
muchas marcas: IBM, DEC, Sun, AT&T, Data General, etc. TCP/IP es conforme a los niveles 3 y 4 de los modelos OSI. Este conjunto de
protocolos fue desarrollado originalmente para el Departamento de Defensa de Estados Unidos.
127. – Telepresencia: Presencia a través de las comunicaciones, es decir se puede ver y escuchar algo o alguien, pero no está físicamente
en el lugar, por ej: un video conferencia.
128. - Teleproceso: Denominación para el proceso de datos desde terminales distantes con la unidad central. Es el caso típico de las
transacciones que realizan, en gran volumen, las entidades financieras.
129. - Terminal: Es un aparato, situado en la periferia de la unidad central y a distancia, que permite la salida de datos que se solicitan al
sistema global. Hay también terminales activos que, mediante un teclado u otro dispositivo, pueden entrar datos al sistema. Además,
cierto tipo de terminales pueden ejecutar algunas operaciones de tipo general o especializado. Y, por último, es cada vez más frecuente
utilizar PCs como terminales, con lo que la consideración de éstos aumentan en rango puesto que, además de las funcionalidades propias
de su conexión al host, pueden actuar de forma autónoma.
UNIVERSIDAD LA GRAN COLOMBIA EMISION
26/11/2010
PAGINA
126 / 126
CODIGO: I-07-13NS
INSTRUCTIVO GUÍA DE ADMINISTRACIÓN CENTRO DE
DATOS Y SEGURIDAD INFORMÁTICA
REVISION
No. REV
130. – Terminal tonto: Dispositivo de entrada y salida, como su nombre lo indica no tiene inteligencia. Depende por completo del
computador principal para el procesamiento. Los terminales tontos transmiten y reciben datos a través de un canal de comunicaciones.
131. - UNIX: Es una familia de sistemas operativos tanto para ordenadores personales (PC) como para mainframes (grandes ordenadores
de muchos procesadores). Soporta gran número de usuarios (multiusuario) y posibilita la ejecución de distintas tareas de forma simultánea
(multitarea). Su facilidad de adaptación a distintas plataformas y la portabilidad de las aplicaciones que ofrece hacen que se extienda
rápidamente. Unix fue desarrollado a finales de los sesenta en los laboratorios Bell, y ha principios de los ochenta su uso estuvo
restringido fundamentalmente al entorno académico. La firma AT&T fue la primera en comercializarlo en 1983.
132. - URL (Universal Resource Locator): Localizador Universal de Recursos. Sistema unificado de identificación de recursos en la
red. Las direcciones se componen de protocolo, FQDN y dirección local del documento dentro del servidor. Permite identificar objetos
WWW, Gopher, FTP, News, etc. Es una cadena que suministra la dirección Internet de un sitio Web o de un recurso World Wide Web,
junto con el protocolo por el que se tiene acceso a ese sitio o a ese recurso. El tipo más común de dirección URL es http://, que
proporciona la dirección Internet de una página Web.
133. - Visual Basic: Versión de BASIC de Microsoft utilizado para desarrollar aplicaciones de Windows, que se ha vuelto popular. Es
similar a QuickBASIC de Microsoft, pero no es 100% compatible con éste. Las interfaces de usuario se desarrollan llevando objetos de la
caja de herramientas de Visual Basic hacia el formato de aplicación.
134. - WWW (World Wide Web): Es uno de los servicios más atractivos de Internet. Esta aplicación, cuyo software más utilizado es
Netscape, permite transmitir y visualizar imágenes, audio, gráfica y textos a través de la red.
135. - Web: Nombre corto para Internet o WWW. Literalmente significa red. Es la parte multimedia de Internet. Es decir, los recursos
creados en HTML y sus derivados.
136. - Webpages: Documentos del Web con información (texto, imágenes, video, audio, etc.), que se presentan en una misma "pantalla".
Una página Web "está" en un servidor Web y es "traída" al computador del usuario para visualizarla.
137. - Websites: Conjunto de páginas Web que conforman una unidad entre sí.
138. - Windows ’98: Sistema operativo lanzado por Microsoft en 1998, como sucesor de Windows 95. Una de las más visibles
diferencias con el anterior consiste en la integración del sistema operativo con el navegador Internet Explorer.
139. - Zip: Zip es un formato de archivo comprimido, el más usado dentro de los archivos que se pueden bajar de Internet, ya que algunos
archivos son muy grandes por eso se deben bajar comprimidos, para que la descarga sea más rápida.
CONTROL DE CAMBIOS:
No
REV FECHA DESCRIPCION
26/11/2010 Emisión inicial
top related