Esta guía presenta las orientaciones básicas que requiere el estudiante para el estudio de la asignatura de Seguridad en los Sistemas de Información. Por esta razón es muy recomendable leer con atención esta guía antes de iniciar el estudio, para adquirir una idea general de la asignatura y de los trabajos, actividades y prácticas que se van a desarrollar a lo largo del curso.

La asignatura tiene como objetivo profundizar y ampliar la formación del estudiante en relación al mundo de la seguridad informática desde sus distintas perspectivas. Por un lado se presentarán distintas políticas, normativas y certificaciones de seguridad existentes, cubriendo a modo de ejemplo el ISO 27001. Por otro lado, se especializará al estudiante en aquellas tecnologías de seguridad que se consideren más avanzadas, prestando especial atención al análisis, diseño y verificación de protocolos de seguridad avanzados para los Sistemas de Información. Se explorarán otros paradigmas todavía en desarrollo con idea de tener una visión global de las necesidades de seguridad que irán apareciendo con los años.

Por tanto, los conocimientos y habilidades prácticas que el estudiante adquiera al cursar esta asignatura le servirán de cara a mejorar su perfil profesional dentro del contexto de la seguridad de las organizaciones, permitiendole abordar el proceso de creación de un programa de seguridad, la gestión de riesgos y la gestión de vulnerabilidades.

La asignatura de Seguridad en los Sistemas de Información se trata de una asignatura de cuatro créditos, obligatoria, impartida en el primer semestre del primer curso y pertenece al módulo de Tecnologías Informáticas de la titulación de Máster Universitario de Ingeniería de Informática. Guarda relación con las siguientes asignaturas también disponibles en el mismo Master:

• Temas Avanzados en Redes e Internet, asignatura del primer semestre del primer curso de grado de carácter obligatorio.
• Cloud Computing y Gestión de Servicios de Red, asignatura del primer semestre del primer curso de grado de carácter obligatorio.
• Gestión y mejora de los procesos, asignatura del primer semestre del primer curso de grado de carácter obligatorio.

Una asignatura relacionada con los contenidos desarrollados en esta asignatura y complementaria a los mismos, sin solapamientos, la encontramos en el primer semestre con la asignatura optativa de “Desarrollo de software seguro”, en la que se abordan en concreto las aplicaciones y los posibles ataques derivados de bugs de programación.

Las competencias de esta asignatura se pueden consultar en la guía del máster.

El nivel de conocimientos alcanzado de la materia está entre medio y alto, un nivel considerado suficiente para poder entender y considerar adecuadamente la seguridad informática como un criterio esencial, en cualquier proyecto de ingeniería informática

Como se ha descrito previamente esta asignatura, que profundiza el estudio de la seguridad en los sistemas informáticos, se apoya fuertemente en los conocimientos y competencias adquiridos en asignaturas del grado de informática. Sin esta base de conocimientos la asignatura presentará un nivel alto de dificultad al estudiante que la aborde por primera vez.

En concreto, guarda gran relación con las materias de:

• Seguridad dentro del Grado de Ingeniería Informática.
• Procesos y herramientas de gestión de la seguridad de redes en el Grado de Ingeniería en las Tecnologías de la Información.
• Sistemas Operativos  o en el Grado de Ingeniería Informática o en el Grado de Ingeniería en las Tecnologías de la Información.
• Fundamentos de Programación o en el Grado de Ingeniería Informática o en el Grado de Ingeniería en las Tecnologías de la Información.
• Redes de Computadores  dentro del Grado de Ingeniería Informática. Redes y Comunicaciones dentro del Grado de Ingeniería en las Tecnologías de la Información.

Además es necesario conocer (leer y escribir) el inglés técnico. Parte de la bibliografía proporcionada al estudiante puede estar disponible únicamente en inglés.

La enseñanza a distancia utilizada para el seguimiento de esta asignatura, que garantiza la ayuda al estudiante, dispone de los siguientes recursos:

Entorno Virtual. A través de CiberUNED el equipo docente de la asignatura pondrá a disposición de los estudiantes diverso material de apoyo al estudio, así como el enunciado del trabajo de prácticas. Se dispone además de foros donde los estudiantes podrán plantear sus dudas para que sean respondidas por los tutores o por el propio equipo docente. Es el SOPORTE FUNDAMENTAL de la asignatura, y supone la principal herramienta de comunicación entre el equipo docente, los tutores y los estudiantes, así como de los estudiantes entre sí.

Adicionalmente puede ponerse en contacto con el equipo docente mediante los siguientes correos electrónicos en los periodos de tutorías:

Dra. Llanos Tobarra (llanos@scc.uned.es)

Martes de 10:00 a 14:00

Dr. Roberto Hernández (roberto@scc.uned.es)

Martes de 15.00 a 19.00 h

Dr. Luis Grau (lgrau@scc.uned.es)

Martes de 15 a 19 horas

Dr. Pablo Ruipérez (pablo@scc.uned.es)

Lunes de 15 a 19 horas

Por último, en caso de desear una tutoría presencial debe concertar cita previa con el equipo docente, que le atenderá en:

ETSI Informática

C/Juan del Rosal 16,

28040, Madrid
 

Competencias Básicas:

CB6 - Poseer y comprender conocimientos que aporten una base u oportunidad de ser originales en el desarrollo y/o aplicación de ideas, a menudo en un contexto de investigación

CB7 - Que los estudiantes sepan aplicar los conocimientos adquiridos y su capacidad de resolución de problemas en entornos nuevos o poco conocidos dentro de contextos más amplios (o multidisciplinares) relacionados con su área de estudio

CB8 - Que los estudiantes sean capaces de integrar conocimientos y enfrentarse a la complejidad de formular juicios a partir de una información que, siendo incompleta o limitada, incluya reflexiones sobre las responsabilidades sociales y éticas vinculadas a la aplicación de sus conocimientos y juicios

CB9 - Que los estudiantes sepan comunicar sus conclusiones y los conocimientos y razones últimas que las sustentan a públicos especializados y no especializados de un modo claro y sin ambigüedades

CB10 - Que los estudiantes posean las habilidades de aprendizaje que les permitan continuar estudiando de un modo que habrá de ser en gran medida autodirigido o autónomo.

Competencias Generales:

G1 - Capacidad para proyectar, calcular y diseñar productos, procesos e instalaciones en todos los ámbitos de la ingeniería informática.

G2 - Capacidad para la dirección de obras e instalaciones de sistemas informáticos, cumpliendo la normativa vigente y asegurando la calidad del servicio.

G4 - Capacidad para el modelado matemático, cálculo y simulación en centros tecnológicos y de ingeniería de empresa, particularmente en tareas de investigación, desarrollo e innovación en todos los ámbitos relacionados con la Ingeniería en Informática.

G7 - Capacidad para la puesta en marcha, dirección y gestión de procesos de fabricación de equipos informáticos, con garantía de la seguridad para las personas y bienes, la calidad final de los productos y su homologación.

G8 - Capacidad para la aplicación de los conocimientos adquiridos y de resolver problemas en entornos nuevos o poco conocidos dentro de contextos más amplios y multidisciplinares, siendo capaces de integrar estos conocimientos.

Competencias Transversales:

CT1 - Capacidad para emprender y liderar proyectos innovadores en entornos científicos, tecnológicos y multidisciplinares.

CT2 - Capacidad para tomar decisiones y formular juicios basados en criterios objetivos (datos experimentales, científicos o de simulación disponibles).

Competencias Específicas:

DG2 - Capacidad para la planificación estratégica, elaboración, dirección, coordinación, y gestión técnica y económica en los ámbitos de la ingeniería informática relacionados, entre otros, con: sistemas, aplicaciones, servicios, redes, infraestructuras o instalaciones informáticas y centros o factorías de desarrollo de software, respetando el adecuado cumplimiento de los criterios de calidad y medioambientales y en entornos de trabajo multidisciplinares.

TI4 - Capacidad para diseñar, desarrollar, gestionar y evaluar mecanismos de certificación y garantía de seguridad en el tratamiento y acceso a la información en un sistema de procesamiento local o distribuido.

El objetivo básico de la asignatura Seguridad en los Sistemas de Información es ampliar los conocimientos básicos de la seguridad informática aplicada adquirida por los estudiantes durante el grado. Como resultado del estudio y aprendizaje de los contenidos de esta asignatura el estudiante será capaz de:

RA1. Comprender los conceptos avanzados de la seguridad en el tratamiento y acceso de la información en un sistema de información.

Objetivo 1.Comprender la trascendencia y los mecanismos avanzados de introducir la seguridad como un criterio de diseño en cualquier sistema o aplicación informática.

Objetivo 2.Comprender los problemas más habituales actuales que implica la falta de seguridad en sistemas, aplicaciones y redes.

Objetivo 3.Comprender la necesidad de la puesta en marcha de una política de seguridad informática en cualquier organización.

RA2. Conocer los mecanismos avanzados de certificación y garantía de la seguridad en sistemas información.

Objetivo 4.Conocer los principales mecanismos de certificación de la puesta en marcha de un Sistema de Gestión de Seguridad Informática que siga las buenas prácticas recomendadas en los estándares internacionales como la familia ISO 27000, NIST o COBIT.

Objetivo 5.Capacidad de evaluar el cumplimiento en una empresa del seguimiento de un Sistema de Gestión de Seguridad Informático implantada en base a las certificaciones aplicadas.

RA3. Conocer los retos y soluciones de seguridad de los sistemas de información dentro del contexto de Internet.

Objetivo 6.Entender, y saber implantar, las defensas avanzadas en sistemas de la información no tradicionales.

RA4. Diseño, desarrollo y gestión de los mecanismos de la seguridad en Sistemas de Información

Objetivo 7.Conocer herramientas de software libre para el análisis del tráfico de red y monitorización de eventos en busca de datos de contenido completo, de sesión, estadístico y de alerta para la detección de vulnerabilidades.

Objetivo 8.Conocer mecanismos de recuperación ante incidentes.

Objetivo 9.Conocer mecanismos de realización de análisis forense para el análisis del sistema tras un incidente.

Así mismo, y como resultados de aprendizaje transversales del master tenemos los siguientes objetivos:

Objetivo 10.Revisar, conocer y juzgar los conocimientos adquiridos.

Objetivo 11.Reconocer el espacio de trabajo virtual personalizado del curso y diferenciar las herramientas disponibles por parte del equipo docente.

Objetivo 12.Conocer el funcionamiento básico de la entrega de actividades y/o ejercicios prácticos relativos al seguimiento y evaluación de los progresos del  curso.

Las diferentes asignaturas que integran este Master, se impartirán todas ellas conforme a la metodología no presencial que caracteriza a la UNED, en la cual prima el autoaprendizaje del estudiante, pero asistido por el profesor y articulado a través de diversos sistemas de comunicación docente-discente. Dentro de estos sistemas, cabe destacar que el Máster en Ingeniería Informática se imparte con apoyo en una plataforma virtual interactiva de la UNED donde el estudiante encuentra  tanto materiales didácticos básicos como materiales didácticos complementarios, informaciones, noticias, ejercicios y también permite la evaluación correspondiente a las diferentes materias.

Esta asignatura de 4 créditos ECTS está planificada en 100 horas.  El tiempo de las actividades formativas, siguiendo la anterior metodología, se han distribuido de forma orientativa de la siguiente manera:

• Estudio de los contenidos teóricos-prácticos utilizando la bibliografía y los materiales complementarios: 40 horas.
• Tutorías: 10 horas.
• Actividades en la plataforma virtual, incluyendo participación en los debates propuestos en los foros: 10 horas.
• Realización de trabajos autónomos de carácter individual  (10 horas) o de carácter colectivo (10 horas): 20 horas.
• Prácticas que incluyen la resolución de casos prácticos así como supuestos: 20 horas.

Tanto los trabajos individuales como los colectivos, además de las prácticas se podrán basar en el uso de software libre, así como de máquinas virtuales o simuladores disponibles que permitan  emular diversos casos de estudio asociados con los objetivos propuestos en la asignatura.

La documentación básica la pondrá el equipo docente a disposición de los estudiantes en el curso virtual.

Módulo I:

•     Portal de ISO 27001: http://www.iso27000.es/
•     The InfoSec Handbook. Umesh Hodeghatta Rao y Umesha Nayak. Editorial Apress Open.
•     Information Security, the Complete Reference. Mark Rhodes-Ousley. Editorial McGraw-Hill .2ª Edición. 2013
•     Sitio Web de ISO para la norma 27001: http://www.iso.org/iso/home/standards/management-standards/iso27001.htm
•     Informe sobre gestión de riesgos  de la Unión Europea de para la seguridad de la información y las redes: https://www.enisa.europa.eu/topics/threat-risk-management/risk-management/current-risk/risk-management-inventory
•     Practical Thread Analysis tool: http://www.ptatechnologies.com/
•     Plantillas de Word de SANS para la creación de políticas de seguridad: http://www.sans.org/security-resources/policies/
   

Módulo II:

•     Cybersecurity capability maturity model (C2M2): http://energy.gov/oe/services/cybersecurity/cybersecurity-capability-maturity-model-c2m2-program
•     Curso gratuito de ITIL v3: http://itilv3.osiatis.es/.
•     Security Metrics: Replacing Fear, Uncertainty, and Doubt.. Andrew Jaquith. Editorial Addison Wesley, 1ª Edicion.
•     The CIS Security Metrics: https://benchmarks.cisecurity.org/tools2/metrics/CIS_Security_Metrics_v1.1.0.pdf
•     Artículos de Educase dedicados a las métricas de seguridad: https://library.educause.edu/topics/cybersecurity/security-metrics

Módulo III:

•     “Practice of Network Security Monitoring”, Richard Bejtlich. Editorial: no starch press.
•     “Building Virtual Pentesting Labs for Advanced Penetration Testing”, Kevin Cardwell. Editorial: Packt Publishing.
•     Blog de Richard Beijtlich: http://taosecurity.blogspot.com.es/
•     Distribución Kali: https://www.kali.org/
•     Distribución Onion: https://security-onion-solutions.github.io/security-onion/
•     Suite SILK creada por el CERT para monitorización de redes: https://tools.netsa.cert.org/silk/

 Módulo IV:

•     Recursos dedicados a Internet de las Cosas:
  • Capítulo del documental “Mundo hacker” emitido por La 2 dedicado a Internet de las Cosas: http://www.rtve.es/drmn/embed/video/3571505
  • Recursos dedicados a la seguridad en Sistemas de Control Industrial:
  • NIST Guide Guide to Industrial Control Systems (ICS) Security:  http://csrc.nist.gov/publications/nistpubs/800-82/SP800-82-final.pdf
  •   The Industrial Control Systems Cyber Emergency Response Team (ICS-CERT): https://ics-cert.us-cert.gov/

Como materiales adicionales para el estudio de la asignatura se ofrece en el curso virtual:

• Esta guía de estudio y la guía didáctica de estudio de la asignatura.
• Distintos libros electrónicos gratuitos, algunos interactivos.
• Material desarrollado exprofeso para el curso por el equipo docente
• Apartado de noticias y enlaces interesantes, relacionados con el desarrollo de la asignatura
• Pruebas prácticas de evaluación a distancia.
• Enunciados y soluciones de ejercicios teórico-prácticos que el estudiante puede usar como ejercicios de autoevaluación.