{\rtf1\ansi\ansicpg1252\uc1\deff0\stshfdbch0\stshfloch0\stshfhich0\stshfbi0\deflang2058\deflangfe2058{\fonttbl{\f0\froman\fcharset0\fprq2{\*\panose 02020603050405020304}Times New Roman;}\r
-{\f36\fswiss\fcharset0\fprq2{\*\panose 020b0603020202020204}Trebuchet MS;}{\f37\froman\fcharset238\fprq2 Times New Roman CE;}{\f38\froman\fcharset204\fprq2 Times New Roman Cyr;}{\f40\froman\fcharset161\fprq2 Times New Roman Greek;}\r
-{\f41\froman\fcharset162\fprq2 Times New Roman Tur;}{\f42\froman\fcharset177\fprq2 Times New Roman (Hebrew);}{\f43\froman\fcharset178\fprq2 Times New Roman (Arabic);}{\f44\froman\fcharset186\fprq2 Times New Roman Baltic;}\r
-{\f45\froman\fcharset163\fprq2 Times New Roman (Vietnamese);}{\f397\fswiss\fcharset238\fprq2 Trebuchet MS CE;}{\f398\fswiss\fcharset204\fprq2 Trebuchet MS Cyr;}{\f400\fswiss\fcharset161\fprq2 Trebuchet MS Greek;}\r
-{\f401\fswiss\fcharset162\fprq2 Trebuchet MS Tur;}{\f404\fswiss\fcharset186\fprq2 Trebuchet MS Baltic;}}{\colortbl;\red0\green0\blue0;\red0\green0\blue255;\red0\green255\blue255;\red0\green255\blue0;\red255\green0\blue255;\red255\green0\blue0;\r
+{\f36\fswiss\fcharset0\fprq2{\*\panose 020b0603020202020204}Trebuchet MS;}{\f114\froman\fcharset238\fprq2 Times New Roman CE;}{\f115\froman\fcharset204\fprq2 Times New Roman Cyr;}{\f117\froman\fcharset161\fprq2 Times New Roman Greek;}\r
+{\f118\froman\fcharset162\fprq2 Times New Roman Tur;}{\f119\froman\fcharset177\fprq2 Times New Roman (Hebrew);}{\f120\froman\fcharset178\fprq2 Times New Roman (Arabic);}{\f121\froman\fcharset186\fprq2 Times New Roman Baltic;}\r
+{\f122\froman\fcharset163\fprq2 Times New Roman (Vietnamese);}{\f474\fswiss\fcharset238\fprq2 Trebuchet MS CE;}{\f475\fswiss\fcharset204\fprq2 Trebuchet MS Cyr;}{\f477\fswiss\fcharset161\fprq2 Trebuchet MS Greek;}\r
+{\f478\fswiss\fcharset162\fprq2 Trebuchet MS Tur;}{\f481\fswiss\fcharset186\fprq2 Trebuchet MS Baltic;}}{\colortbl;\red0\green0\blue0;\red0\green0\blue255;\red0\green255\blue255;\red0\green255\blue0;\red255\green0\blue255;\red255\green0\blue0;\r
-\rsid16473238\rsid16542367\rsid16583651\rsid16606291\rsid16649806}{\*\generator Microsoft Word 10.0.2627;}{\info{\title Modelo conceptual de Seguridad}{\author certant}{\operator certant}{\creatim\yr2004\mo1\dy7\hr20\min53}\r
-\par }{\f36\insrsid3424186 El presente documento estipula a modo conceptual los requisitos necesarios para cumplir con el negocio y asegurar el correcto tratamiento de la informaci\'f3\r
+\ql \li0\ri0\widctlpar\aspalpha\aspnum\faauto\adjustright\rin0\lin0\itap0 \fs20\lang1024\langfe1024\cgrid\langnp1024\langfenp1024 \snext11 \ssemihidden Normal Table;}{\s15\ql \li0\ri0\widctlpar\r
+\rsid14887586\rsid15092379\rsid15337653\rsid15409153\rsid15430475\rsid15753411\rsid16085235\rsid16147095\rsid16393822\rsid16399163\rsid16473238\rsid16542367\rsid16583651\rsid16606291\rsid16649806}{\*\generator Microsoft Word 10.0.2627;}{\info\r
+{\title Modelo conceptual de Seguridad}{\author certant}{\operator certant}{\creatim\yr2004\mo1\dy7\hr20\min53}{\revtim\yr2004\mo1\dy14\hr11\min19}{\version113}{\edmins474}{\nofpages8}{\nofwords2882}{\nofchars15857}{\*\company Certant S.A.}\r
+\par }{\f36\fs20\insrsid3424186\charrsid1729289 El presente documento estipula a modo conceptual los requisitos necesarios para cumplir con el negocio y asegurar el correcto tratamiento de la informaci\'f3\r
n. El objetivo primario es garantizar la continuidad comercial, y defender la informaci\'f3n ante una amplia gama de amenazas, minimizando el da\'f1o a la misma y maximizando el retorno sobre inversiones y oportunidades.\r
\par \r
-\par El esquema presentado es un lineamiento acotado del esquema 1 de la normativa }{\b\f36\insrsid3424186\charrsid12866779 ISO 17799:2002}{\f36\insrsid3424186 el cual es el est\'e1ndar internacional sobre seguridad en tecnolog\'eda de la informaci\'f3\r
-n, adecuando el mismo al dominio de la presente aplicaci\'f3n y extendiendo a la infraestructura de la corporaci\'f3n Obra Social}{\f36\insrsid7225471 Asistencia M\'e9dica Miklolife}{\f36\insrsid3424186 .}{\f36\insrsid12866779 Adicionalmente se utilizar\r
-\'e1n otros est\'e1ndares, muchos de ellos obtenidos de RFCs de la }{\b\f36\insrsid12866779 IETF}{\f36\insrsid12866779 , los cuales, en el momento de ser utilizados, se har\'e1 referencia al n\'famero de los mismos.}{\f36\insrsid3424186\charrsid12866779 \r
-\par }{\f36\insrsid3424186 El t\'e9rmino de seguridad en este contexto se referir\'e1 a la preservaci\'f3n de las siguientes tres caracter\'edsticas fundamentales:\r
+\par El esquema presentado es un lineamiento acotado del esquema 1 de la normativa }{\b\f36\fs20\insrsid3424186\charrsid1729289 ISO 17799:2002}{\f36\fs20\insrsid3424186\charrsid1729289 el cual es el est\'e1ndar internacional sobre seguridad en tecnolog\'ed\r
+a de la informaci\'f3n, adecuando el mismo al dominio de la presente aplicaci\'f3n y extendiendo a la infraestructura de la corporaci\'f3n Obra Social}{\f36\fs20\insrsid7225471\charrsid1729289 Asistencia M\'e9dica Miklolife}{\r
+\f36\fs20\insrsid3424186\charrsid1729289 .}{\f36\fs20\insrsid12866779\charrsid1729289 Adicionalmente se utilizar\'e1n otros est\'e1ndares, muchos de ellos obtenidos de RFCs de la }{\b\f36\fs20\insrsid12866779\charrsid1729289 IETF}{\r
+\f36\fs20\insrsid12866779\charrsid1729289 , los cuales, en el momento de ser utilizados, se har\'e1 referencia al n\'famero de los mismos.}{\f36\fs20\insrsid3424186\charrsid1729289 \r
\par \r
-\par }{\b\f36\insrsid3424186 A}{\b\f36\insrsid11412386 -}{\b\f36\insrsid3424186 Confidencialidad}{\f36\insrsid3424186 : }{\f36\insrsid11412386 la informaci\'f3n deber\'e1 ser accesible s\'f3lo a aquellas personas autorizadas a tener acceso a la misma.}{\r
-\f36\insrsid3424186 \r
-\par }{\b\f36\insrsid11412386 B-Integridad}{\f36\insrsid11412386 : se debe mantener la exactitud y totalidad de la informaci\'f3n y los m\'e9todos de procesamiento.\r
-\par }{\b\f36\insrsid11412386 C-Disponibilidad}{\f36\insrsid11412386 : los usuarios autorizados al acceso a la informaci\'f3n y sus recursos relacionados deben poder acceder a ellos en }{\f36\ul\insrsid11412386 todo}{\f36\insrsid11412386 \r
+\par }{\f36\fs20\insrsid3424186\charrsid1729289 El t\'e9rmino de seguridad en este contexto se referir\'e1 a la preservaci\'f3n de las siguientes tres caracter\'edsticas fundamentales:\r
+\par \r
+\par }{\b\f36\fs20\insrsid3424186\charrsid1729289 A}{\b\f36\fs20\insrsid11412386\charrsid1729289 -}{\b\f36\fs20\insrsid3424186\charrsid1729289 Confidencialidad}{\f36\fs20\insrsid3424186\charrsid1729289 : }{\f36\fs20\insrsid11412386\charrsid1729289 la informaci\r
+\'f3n deber\'e1 ser accesible s\'f3lo a aquellas personas autorizadas a tener acceso a la misma.}{\f36\fs20\insrsid3424186\charrsid1729289 \r
+\par }{\b\f36\fs20\insrsid11412386\charrsid1729289 B-Integridad}{\f36\fs20\insrsid11412386\charrsid1729289 : se debe mantener la exactitud y totalidad de la informaci\'f3n y los m\'e9todos de procesamiento.\r
+\par }{\b\f36\fs20\insrsid11412386\charrsid1729289 C-Disponibilidad}{\f36\fs20\insrsid11412386\charrsid1729289 : los usuarios autorizados al acceso a la informaci\'f3n y sus recursos relacionados deben poder acceder a ellos en }{\r
+\f36\fs20\ul\insrsid11412386\charrsid1729289 todo}{\f36\fs20\insrsid11412386\charrsid1729289 momento en que sea requerido.\r
\par En cuanto a la operativa diara de los usuarios frente a sus tareas, se manejar\'e1n dos t\'e9rminos clave:\r
\par \r
-\par }{\b\f36\insrsid10171893 A-Autenticaci\'f3n}{\f36\insrsid10171893 : se refiere a la fase en que se valida la identidad del usuario.\r
-\par }{\b\f36\insrsid10171893 B-Autorizaci\'f3n}{\f36\insrsid10171893 : se refiere a las actividades permitidas para el usuario, una vez autenticado.}{\f36\insrsid10171893\charrsid10171893 \r
-\par }{\f36\insrsid10171893 \r
+\par }{\b\f36\fs20\insrsid10171893\charrsid1729289 A-Autenticaci\'f3n}{\f36\fs20\insrsid10171893\charrsid1729289 : se refiere a la fase en que se valida la identidad del usuario.\r
+\par }{\b\f36\fs20\insrsid10171893\charrsid1729289 B-Autorizaci\'f3n}{\f36\fs20\insrsid10171893\charrsid1729289 : se refiere a las actividades permitidas para el usuario, una vez autenticado.\r
+\par \r
\par La presente documentaci\'f3n es un delineamiento de c\'f3mo ser\'e1 implementada la infraestructura y la aplicaci\'f3n de gesti\'f3n para respetar estos conceptos y asegurarse de que sean cumplimentados de la manera acordada.\r
-\par }{\f36\insrsid4874609 Bajo este t\'f3pico se describir\'e1 como deber\'e1 establecerse la infraestructura f\'edsica de la corporaci\'f3n debido a la arquitectura remitida en el an\'e1lisis de la aplicaci\'f3n, haci\'e9\r
+\par }{\f36\fs20\insrsid4874609\charrsid1729289 Bajo este t\'f3pico se describir\'e1 como deber\'e1 establecerse la infraestructura f\'edsica de la corporaci\'f3n debido a la arquitectura remitida en el an\'e1lisis de la aplicaci\'f3n, haci\'e9\r
ndola extensiva para el futuro anexo de nuevas aplicaciones complementarias a la gesti\'f3n de Afiliados, Coberturas, Planes, Autorizaciones, Prestadores y Prestaciones.\r
\par \r
\par La empresa cuenta con una sede central y numerosos CAP distribu\'eddos en todo el pa\'eds. Para implementar un esquema de infraestructura f\'edsica, el n\'facleo de procesamiento deber\'e1\r
incorporarse en la sede central de la obra social manteniendo la carga pesada del procesamiento de la informaci\'f3n, rest\'e1ndole a los CAP la infraestructura m\'ednima para mantener cont\'ed\r
nuo el enlace hacia la sede central, y a su vez protegido contra intentos de intrusi\'f3n y violaci\'f3n de la informaci\'f3n.\r
\par En sede central deber\'e1 implementarse un NOC donde ser\'e1n ubicadas todos los servidores y dispositivos de networking necesarios para distribuir la aplicaci\'f3n a trav\'e9s de los CAPs, y en cada uno de \'e9stos \'faltimos se deber\'e1n incorporar }{\r
-\f36\insrsid3225670 racks}{\f36\insrsid12866779 con el equipamiento necesario para la accesibilidad al enlace y la protecci\'f3n del mismo ante amenazas a la seguridad.\r
-\par }{\f36\insrsid3225670\r
-\par Para el primer caso, se dispondr\'e1 de una sala propia}{\f36\insrsid5712412 . La misma deber\'e1 mantener los equipos debidamente instalados sobre racks. Deber\'e1 tener techo, piso y paredes falsas por los que deber\'e1\r
- pasar el cableado debidamente canalizado. Adicionalmente deber\'e1 mantenerse la temperatura de la misma entre 10 y 15 grados Celsius con el objeto de mantener la temperatura de las m\'e1quinas.}{\f36\insrsid14439023\r
- Las paredes, techo y piso reales deben estar preparadas para desastres f\'edsicos como fuego o inundaci\'f3n.}{\f36\insrsid1861734 El acceso debe estar bloqueado con cerraduras electr\'f3nicas, y activadas mediante un c\'f3digo num\'e9\r
-rico o una placa magn\'e9tica, y toda persona ajena debe ser escoltado al mismo (recordar que es el centro neur\'e1lgico del negocio).}{\f36\insrsid3225670 \r
-\par }{\f36\insrsid1861734\r
+\f36\fs20\insrsid3225670\charrsid1729289 racks}{\f36\fs20\insrsid12866779\charrsid1729289 con el equipamiento necesario para la accesibilidad al enlace y la protecci\'f3n del mismo ante amenazas a la seguridad.\r
+\par Para el primer caso, se dispondr\'e1 de una sala propia}{\f36\fs20\insrsid5712412\charrsid1729289 . La misma deber\'e1 mantener los equipos debidamente instalados sobre racks. Deber\'e1 tener techo, piso y paredes falsas por los que deber\'e1\r
+ pasar el cableado debidamente canalizado. Adicionalmente deber\'e1 mantenerse la temperatura de la misma entre 10 y 15 grados Celsius con el objeto de mantener la temperatura de las m\'e1quinas.}{\f36\fs20\insrsid14439023\charrsid1729289\r
+ Las paredes, techo y piso reales deben estar preparadas para desastres f\'edsicos como fuego o inundaci\'f3n.}{\f36\fs20\insrsid1861734\charrsid1729289 El acceso debe estar bloqueado con cerraduras electr\'f3nicas, y activadas mediante un c\'f3digo num\r
+\'e9rico o una placa magn\'e9tica, y toda persona ajena debe ser escoltado al mismo (recordar que es el centro neur\'e1lgico del negocio).}{\f36\fs20\insrsid3225670\charrsid1729289 \r
\par En el caso de cada CAP, deber\'e1 contar con un rack con los dispositivos de networking y servers necesarios para mantener el enlace, debidamente custodiados bajo llave, de donde saldr\'e1n las bocas hacia todos los puestos de trabajo.\r
-\par }{\f36\insrsid4207939 \r
-\par Como en breve ser\'e1 descripto, se necesitar\'e1 un servicio de directorio LDAP para el control de autenticaci\'f3n y autorizaci\'f3n }{\f36\insrsid12866779 de los usuarios, }{\f36\insrsid4207939 \r
+\par Como en breve ser\'e1 descripto, se necesitar\'e1 un servicio de directorio LDAP para el control de autenticaci\'f3n y autorizaci\'f3n }{\f36\fs20\insrsid12866779\charrsid1729289 de los usuarios, }{\f36\fs20\insrsid4207939\charrsid1729289 \r
y el motor de base de datos para el uso propio de la aplicaci\'f3n y futuras aplicaciones que fuesen de necesidad. Para garantizar la continuidad de la operativa diaria, se dispondr\'e1\r
- de dos cluster separados, uno para guardar la base del directorio y otro para guardar la base relacional. }{\f36\insrsid12866779 Ambos clusters deben permanecer en el NOC de la sede central de modo de mantener centralizado el control de los mismos.}{\r
-\f36\insrsid1861734 Al estar clusterizados los dos servicios principales, se dispondr\'e1 de continuidad ya que ante la ca\'edda de uno de los nodos, otro de ellos tomar\'e1 el servicio.}{\f36\insrsid12866779 \r
+ de dos cluster separados, uno para guardar la base del directorio y otro para guardar la base relacional. }{\f36\fs20\insrsid12866779\charrsid1729289 Ambos clusters deben permanecer \r
+en el NOC de la sede central de modo de mantener centralizado el control de los mismos.}{\f36\fs20\insrsid1861734\charrsid1729289 Al estar clusterizados los dos servicios principales, se dispondr\'e1 de continuidad ya que ante la ca\'ed\r
+da de uno de los nodos, otro de ellos tomar\'e1 el servicio.}{\f36\fs20\insrsid12866779\charrsid1729289 \r
-\par }{\f36\insrsid3289990 En esta secci\'f3n se describir\'e1 la infraestructura l\'f3gica a implementarse en la organizaci\'f3n y particularmente en la aplicaci}{\f36\insrsid5781175 \'f3n. Para comenzar, se tratar\'e1\r
- la manera de organizar y estructurar a todos los usuarios desde el punto de vista de empleados de la firma, y como vincularlos hacia la aplicaci\'f3n.}{\f36\insrsid4207939 \r
-\par }{\f36\insrsid12787667 \r
-\par }{\b\f36\insrsid12787667 Infraestructura de usuarios, y grupos y perfil en base a roles}{\b\f36\insrsid12787667\charrsid12787667 \r
-\par }{\f36\insrsid5781175 \r
-\par }{\f36\insrsid14552699 Los usuarios de la organizaci\'f3n ser\'e1n almacenados en una base de datos jer\'e1rquica }{\f36\insrsid7756374 del tipo ISO X.500}{\f36\insrsid16606291 , con un servicio LDAP, en su versi\'f3\r
-n 3 del protocolo, full compliant con las }{\b\f36\insrsid16606291\charrsid2492985 RFC 3377, 2251, 2252, 2253}{\b\f36\insrsid12746594 , 2254, 2256}{\b\f36\insrsid9318052\charrsid2492985 , 2829-2830}{\f36\insrsid9318052 (}{\f36\insrsid2492985 las dos \'fa\r
-ltimas }{\f36\insrsid9318052 para la autenticaci\'f3n).}{\f36\insrsid11892371 El servicio debe estar clusterizado como anteriormente se mencion}{\f36\insrsid14551371 \'f3, y la conexi\'f3n al mismo debe ser v\'eda SSL. No deber\'e1\r
- permanecer abierto el puerto TCP est\'e1ndar 389 para comunicaciones por texto plano. El puerto abierto ser\'e1 el est\'e1ndar para comunicaci\'f3n LDAP sobre SSL que es el 636 y toda comunicaci\'f3n se utilizar\'e1 mediante querys LDAP.}{\r
-\f36\insrsid15092379 La base del directorio deber\'e1 bajarse a un archivo plano LDIF semanalmente e ir almacenando las copias de resguardo en cinta }{\f36\insrsid4201161 en modo progresivo }{\f36\insrsid15092379 con el motivo de }{\f36\insrsid4201161 \r
-poder hacer una restauraci\'f3n ante una situaci\'f3n de desastre.}{\f36\insrsid5781175 \r
-\par }{\f36\insrsid3891034 \r
-\par }{\f36\insrsid3434675 En el siguiente modelo se describir\'e1 en exactitud la implementaci\'f3n del directorio y c}{\f36\insrsid8016830 \'f3mo almacenar a los usuarios y grupos. A modo de adelanto, los usuarios ser\'e1n entries de la clase }{\r
-\b\f36\insrsid8016830 inetOrgPerson}{\f36\insrsid8016830 descrita en la }{\b\f36\insrsid8016830\charrsid2492985 RFC 2798}{\f36\insrsid8016830 y para los grupos, entries del tipo }{\b\f36\insrsid8016830 groupOfUniqueNames}{\f36\insrsid8016830 \r
-, descrita en el est}{\f36\insrsid16399163 \'e1ndar }{\b\f36\insrsid16399163\charrsid2492985 X.500}{\f36\insrsid16399163 .}{\f36\insrsid3891034 \r
-\par }{\f36\insrsid16399163 \r
-\par El \'e1rbol tendr\'e1 una estructura jer\'e1rquica, comenzando por una ra\'edz representando a la organizaci\'f3n}{\f36\insrsid12746594 con clase }{\b\f36\insrsid12746594 organization}{\f36\insrsid16399163 , y luego contenedores de la clase }{\r
-\b\f36\insrsid16399163 organizationalUnit}{\f36\insrsid16399163 , cada uno representando un CAP, y debajo de cada uno de ellos los usuarios de ese CAP. Lo mismo para la Sede Central. }{\f36\insrsid5274261 Luego deber\'e1\r
- haber un contenedor especial para los grupos. Los mismos definiran los roles que tendr\'e1n los usuarios en la aplicaci\'f3n.}{\f36\insrsid16399163 \r
-\par }{\f36\insrsid5274261 \r
-\par }{\f36\insrsid13728141 El objetivo de usar un \'e1rbol LDAP es que es un servicio distribu\'eddo ideal para mantener }{\f36\insrsid16583651 la informaci\'f3n de infraestructura, incluyendo usuarios, grupos, servidores y todo tipo de datos de tal \'ed\r
-ndole. El usuario tendr\'e1 almacenados sus datos personales, }{\f36\insrsid4668982 sus credenciales y podr\'e1 ser vinculado a diversos grupos, pudiendo las aplicaciones utilizar estos agrupamientos para poder perfilar a los usuarios. El directorio adem\r
-\'e1s permite almacenar un password de diversos modos, inclusive extender la clase propuesta para poder almacenar credenciales del tipo biom\'e9trica, como el iris de ojos o las huellas digitales de los usuarios. Este \'fa\r
-ltimo es muy recomendado debido a su gran avance}{\f36\insrsid2515417 en cuanto a tecnolog\'eda se refiere.}{\f36\insrsid4999623 Adicionalmente, el directorio cuenta con la ventaja de separar la aplicaci\'f3n y la administraci\'f3\r
-n de empleados de la organizaci\'f3n y sus roles dentro de la misma, manteniendo el usuario una sola identidad dentro de la empresa y conservando sus credenciales para entrar a las diversas aplicaciones con que cuente la corporaci\'f3n.\r
+\par }{\f36\fs20\insrsid3289990\charrsid1729289 En esta secci\'f3n se describir\'e1 la infraestructura l\'f3gica a implementarse en la organizaci\'f3n y particularmente en la aplicaci}{\f36\fs20\insrsid5781175\charrsid1729289 \'f3n. Para comenzar, se tratar\r
+\'e1 la manera de organizar y estructurar a todos los usuarios desde el punto de vista de empleados de la firma, y como vincularlos hacia la aplicaci\'f3n.}{\f36\fs20\insrsid4207939\charrsid1729289 \r
+\par }{\f36\fs20\insrsid14552699\charrsid1729289 Los usuarios de la organizaci\'f3n ser\'e1n almacenados en una base de datos jer\'e1rquica }{\f36\fs20\insrsid7756374\charrsid1729289 del tipo ISO X.500}{\f36\fs20\insrsid16606291\charrsid1729289 \r
+, con un servicio LDAP, en su versi\'f3n 3 del protocolo, full compliant con las }{\b\f36\fs20\insrsid16606291\charrsid1729289 RFC 3377, 2251, 2252, 2253}{\b\f36\fs20\insrsid12746594\charrsid1729289 , 2254, 2256}{\r
+\b\f36\fs20\insrsid9318052\charrsid1729289 , 2829-2830}{\f36\fs20\insrsid9318052\charrsid1729289 (}{\f36\fs20\insrsid2492985\charrsid1729289 las dos \'faltimas }{\f36\fs20\insrsid9318052\charrsid1729289 para la autenticaci\'f3n).}{\r
+\f36\fs20\insrsid11892371\charrsid1729289 El servicio debe estar clusterizado como anteriormente se mencion}{\f36\fs20\insrsid14551371\charrsid1729289 \'f3, y la conexi\'f3n al mismo debe ser v\'eda SSL. No deber\'e1 permanecer abierto el puerto TCP est\r
+\'e1ndar 389 para comunicaciones por texto plano. El puerto abierto ser\'e1 el est\'e1ndar para comunicaci\'f3n LDAP sobre SSL que es el 636 y toda comunicaci\'f3n se utilizar\'e1 mediante querys LDAP.}{\f36\fs20\insrsid15092379\charrsid1729289 \r
+ La base del directorio deber\'e1 bajarse a un archivo plano LDIF semanalmente e ir almacenando las copias de resguardo en cinta }{\f36\fs20\insrsid4201161\charrsid1729289 en modo progresivo }{\f36\fs20\insrsid15092379\charrsid1729289 con el motivo de }{\r
+\f36\fs20\insrsid4201161\charrsid1729289 poder hacer una restauraci\'f3n ante una situaci\'f3n de desastre.}{\f36\fs20\insrsid5781175\charrsid1729289 \r
+\par }{\f36\fs20\insrsid3434675\charrsid1729289 En el siguiente modelo se describir\'e1 en exactitud la implementaci\'f3n del directorio y c}{\f36\fs20\insrsid8016830\charrsid1729289 \'f3\r
+mo almacenar a los usuarios y grupos. A modo de adelanto, los usuarios ser\'e1n entries de la clase }{\b\f36\fs20\insrsid8016830\charrsid1729289 inetOrgPerson}{\f36\fs20\insrsid8016830\charrsid1729289 descrita en la }{\r
+\b\f36\fs20\insrsid8016830\charrsid1729289 RFC 2798}{\f36\fs20\insrsid8016830\charrsid1729289 y para los grupos, entries del tipo }{\b\f36\fs20\insrsid8016830\charrsid1729289 groupOfUniqueNames}{\f36\fs20\insrsid8016830\charrsid1729289 \r
+, descrita en el est}{\f36\fs20\insrsid16399163\charrsid1729289 \'e1ndar }{\b\f36\fs20\insrsid16399163\charrsid1729289 X.500}{\f36\fs20\insrsid16399163\charrsid1729289 .}{\f36\fs20\insrsid3891034\charrsid1729289 \r
+\par El \'e1rbol tendr\'e1 una estructura jer\'e1rquica, comenzando por una ra\'edz representando a la organizaci\'f3n}{\f36\fs20\insrsid12746594\charrsid1729289 con clase }{\b\f36\fs20\insrsid12746594\charrsid1729289 organization}{\r
+\f36\fs20\insrsid16399163\charrsid1729289 , y luego contenedores de la clase }{\b\f36\fs20\insrsid16399163\charrsid1729289 organizationalUnit}{\f36\fs20\insrsid16399163\charrsid1729289 , cada uno representando un CAP, y \r
+debajo de cada uno de ellos los usuarios de ese CAP. Lo mismo para la Sede Central. }{\f36\fs20\insrsid5274261\charrsid1729289 Luego deber\'e1 haber un contenedor especial para los grupos. Los mismos definiran los roles que tendr\'e1\r
+n los usuarios en la aplicaci\'f3n.}{\f36\fs20\insrsid16399163\charrsid1729289 \r
+\par }{\f36\fs20\insrsid13728141\charrsid1729289 El objetivo de usar un \'e1rbol LDAP es que es un servicio distribu\'eddo ideal para mantener }{\f36\fs20\insrsid16583651\charrsid1729289 la informaci\'f3\r
+n de infraestructura, incluyendo usuarios, grupos, servidores y todo tipo de datos de tal \'edndole. El usuario tendr\'e1 almacenados sus datos personales, }{\f36\fs20\insrsid4668982\charrsid1729289 sus credenciales y podr\'e1 ser vinculado a di\r
+versos grupos, pudiendo las aplicaciones utilizar estos agrupamientos para poder perfilar a los usuarios. El directorio adem\'e1\r
+s permite almacenar un password de diversos modos, inclusive extender la clase propuesta para poder almacenar credenciales del tipo biom\'e9trica, como el iris de ojos o las huellas digitales de los usuarios. Este \'fa\r
+ltimo es muy recomendado debido a su gran avance}{\f36\fs20\insrsid2515417\charrsid1729289 en cuanto a tecnolog\'eda se refiere.}{\f36\fs20\insrsid4999623\charrsid1729289 Adicionalmente, el directorio cuenta con la ventaja de separar la aplicaci\'f3\r
+n y la administraci\'f3n de empleados de la organizaci\'f3n y sus roles dentro de la misma, manteniendo el usuario una sola identidad dentro de la empresa y conservando sus credenciales para entrar a las diversas aplicaciones con que cuente la corporaci\r
-\par En el mismo podemos ver varios usuarios en distintos contenedores de acuerdo a su ubicaci\'f3n f\'edsica de trabajo, y por cada una de ellas un contenedor }{\b\f36\insrsid16473238 organizationalUnit}{\f36\insrsid16473238 de modo de mantener\r
- reflejada la jerarqu\'eda de la organizaci\'f3n. Vemos tambi\'e9n el contenedor }{\b\f36\insrsid16473238 ou=Grupos_Gestion}{\f36\insrsid16473238 debajo del cual estar\'e1n ubicados aquellos grupos que perfilan }{\f36\insrsid15753411 \r
-los usuarios de nuestra aplicaci\'f3n de acuerdo a sus roles. Por \'faltimo, el administrador general del directorio, colgando directamente de la ra\'edz organizativa.}{\f36\insrsid11079232\charrsid16473238 \r
-\par }{\f36\insrsid16473238 \r
-\par }{\b\f36\insrsid15337653 V\'ednculo hacia la aplicaci\'f3n \endash Propagaci\'f3n de perfiles seg\'fan roles}{\b\f36\insrsid15337653\charrsid15337653 \r
-\par }{\f36\insrsid15337653 \r
-\par }{\f36\insrsid11079232 En cuanto a la seguridad netamente de la aplicaci\'f3n, }{\f36\insrsid7541208 la misma estar\'e1 montada en el mismo schema dentro del motor de base de datos (tambi\'e9n clusterizado}{\f36\insrsid2708492 ), pero no tendr\'e1 relaci\r
-\'f3n con los datos propios de la aplicaci\'f3n. Habr\'e1 una tabla con usuarios (donde se guardar\'e1n sus usernames, coincidentes con los RDN de sus entries LDAP), con el objeto de integrar un usuario a la aplicaci\'f3n.}{\f36\insrsid10958806 \r
+\par En el mismo podemos ver varios usuarios en distintos contenedores de acuerdo a su ubicaci\'f3n f\'edsica de trabajo, y por cada una de ellas un contenedor }{\b\f36\fs20\insrsid16473238\charrsid1729289 organizationalUnit}{\r
+\f36\fs20\insrsid16473238\charrsid1729289 de modo de mantener reflejada la jerarqu\'eda de la organizaci\'f3n. Vemos tambi\'e9n el contenedor }{\b\f36\fs20\insrsid16473238\charrsid1729289 ou=Grupos_Gestion}{\f36\fs20\insrsid16473238\charrsid1729289 \r
+ debajo del cual estar\'e1n ubicados aquellos grupos que perfilan }{\f36\fs20\insrsid15753411\charrsid1729289 los usuarios de nuestra aplicaci\'f3n de acuerdo a sus roles. Por \'faltimo, el\r
+ administrador general del directorio, colgando directamente de la ra\'edz organizativa.}{\f36\fs20\insrsid11079232\charrsid1729289 \r
+\par }{\f36\fs20\insrsid11079232\charrsid1729289 En cuanto a la seguridad netamente de la aplicaci\'f3n, }{\f36\fs20\insrsid7541208\charrsid1729289 la misma estar\'e1 montada en el mismo schema dentro del motor de base de datos (tambi\'e9n clusterizado}{\r
+\f36\fs20\insrsid2708492\charrsid1729289 ), pero no tendr\'e1 relaci\'f3n con los datos propios de la aplicaci\'f3n. Habr\'e1 una tabla con usuarios (donde se guardar\'e1\r
+n sus usernames, coincidentes con los RDN de sus entries LDAP), con el objeto de integrar un usuario a la aplicaci\'f3n.}{\f36\fs20\insrsid10958806\charrsid1729289 \r
Adicionalmente esta tabla puede llegar a contener datos exclusivos del usuario dentro de la aplicaci\'f3n de ser necesario, pero es recomendable que se extienda la clase usuario si estos datos son m\'e1s de infraestructura que de la aplicaci\'f3n en s\r
-\'ed.}{\f36\insrsid8986135 Luego deber\'e1 existir una tabla que mapee los grupos con las funcionalidades existentes en la aplicaci\'f3n, y m\'e1s en detalle, otra tabla que relacione las funcionalidades con \'edtems de men\'fa (que se describir\'e1\r
- en el modelo acerca del concepto e implementaci}{\f36\insrsid14574856 \'f3n de menues).}{\f36\insrsid11079232 \r
-\par }{\f36\insrsid14574856\r
-\par A modo conceptual, para aplicar este esquema, la aplicaci\'f3n debe en primer lugar realizar la autenticaci\'f3n del usuario, v\'eda LDAP. Este procedimiento ser\'e1 descrito luego en la implementaci\'f3n. Luego, }{\f36\insrsid414882\r
+\'ed.}{\f36\fs20\insrsid8986135\charrsid1729289 Luego deber\'e1 existir una tabla que mapee los grupos con las funcionalidades existentes en la aplicaci\'f3n, y m\'e1s en detalle, otra tabla que relacione las funcionalidades con \'edtems de men\'fa\r
+ (que se describir\'e1 en el modelo acerca del concepto e implementaci}{\f36\fs20\insrsid14574856\charrsid1729289 \'f3n de menues).}{\f36\fs20\insrsid11079232\charrsid1729289 \r
+\par A modo conceptual, para aplicar este esquema, la aplicaci\'f3n debe en primer lugar realizar la autenticaci\'f3n del usuario, v\'eda LDAP. Este procedimiento ser\'e1 descrito luego en la implementaci\'f3n. Luego, }{\f36\fs20\insrsid414882\charrsid1729289\r
una vez autenticado se obtendr\'e1 su membre\'eda trayendo v\'eda LDAP los grupos a los cuales el usuario est\'e1 enlazado y una vez con estros grupos y armado el perfil del usuario, se mostrar\'e1n aquellas funcionalidades a las que el usuario est\'e1\r
- autorizado a acceder.}{\f36\insrsid14574856\r
-\par }{\f36\insrsid414882\r
-\par }{\f36\insrsid2884575 Lo anterior se puede visualizar en el siguiente esquema gr\'e1fico:\r
+ autorizado a acceder.}{\f36\fs20\insrsid14574856\charrsid1729289\r
+\par }{\f36\fs20\insrsid414882\charrsid1729289\r
+\par }{\f36\fs20\insrsid2884575\charrsid1729289 Lo anterior se puede visualizar en el siguiente esquema gr\'e1fico:\r
-\par }{\f36\insrsid414882 Como se puede ver, el manejo de la seguridad es sencillo y recae en el poder del directorio }{\f36\insrsid4465047 con servicio }{\f36\insrsid414882 LDAP.\r
-\par }{\f36\insrsid4996380 Internamente, se utilizar\'e1 un dominio w2k, pero emulado a trav\'e9s de un SAMBA 3 utilizando el mismo directorio LDAP}{\f36\insrsid4465047 en reemplazo del Microsoft Active Directory, ya que este \'fa\r
-ltimo posee escasas prestaciones a nivel de directorio, aunque debemos destacar que cumple con todas las especificaciones de las RFC (el tema de la exclusi\'f3n de AD es poder tener un dominio windows bajo la administraci\'f3\r
-n poderosa de Samba, utilizando adicionalmente un directorio que permita mantener un \'e1rbol corporativo).\r
+\par }{\f36\fs20\insrsid414882\charrsid1729289 Como se puede ver, el manejo de la seguridad es sencillo y recae en el poder del directorio }{\f36\fs20\insrsid4465047\charrsid1729289 con servicio }{\f36\fs20\insrsid414882\charrsid1729289 LDAP.\r
+\par }{\f36\fs20\insrsid4996380\charrsid1729289 Internamente, se utilizar\'e1 un dominio w2k, pero emulado a trav\'e9s de un SAMBA 3 utilizando el mismo directorio LDAP}{\f36\fs20\insrsid4465047\charrsid1729289 \r
+ en reemplazo del Microsoft Active Directory, ya que este \'faltimo posee escasas prestaciones a nivel de directorio, aunque debemos destacar que cumple con todas las especificaciones de las RFC (el tema de la exclusi\'f3\r
+n de AD es poder tener un dominio windows bajo la administraci\'f3n poderosa de Samba, utilizando adicionalmente un directorio que permita mantener un \'e1rbol corporativo).\r
\par \r
-\par }{\f36\insrsid4996380 En las estaciones de trabajo de los usuarios se contar\'e1 con clientes Windows 2000 Professional debidamente licenciados}{\f36\insrsid4465047 . T}{\f36\insrsid4996380 oda la administraci\'f3n del dominio deber\'e1 implemen}{\r
-\f36\insrsid6688377 tarse bajo Novell Suse Linux 9, mediante un PDC Samba 3 como reci\'e9n se nombr\'f3,}{\f36\insrsid4465047 y adicionalmente}{\f36\insrsid6688377 manteniendo un servicio BDC Samba 3 a modo de resguardo}{\f36\insrsid4465047 , y para res\r
-taurar el dominio en caso de una ca\'edda del PDC}{\f36\insrsid6688377 .}{\f36\insrsid414882 \r
-\par }{\f36\insrsid16085235 \r
-\par Antes de proseguir, cabe destacar que deber\'e1 extenderse el }{\b\f36\insrsid16085235 schema}{\f36\insrsid16085235 del directorio con las clases auxiliares }{\b\f36\insrsid16085235 posixAccount, shadowAccountn }{\f36\insrsid16085235 y }{\r
-\b\f36\insrsid16085235 posixGroup}{\f36\insrsid16085235 , descritas en su totalidad en la RFC }{\b\f36\insrsid16085235 2307}{\f36\insrsid16085235 junto con las clases que vienen incorporadas en la instalaci\'f3n de Samba (}{\b\f36\insrsid16085235 sam\r
-baSamAccount}{\f36\insrsid16085235 para las cuentas de usuarios de dominio Windows).}{\f36\insrsid16085235\charrsid16085235 \r
-\par }{\f36\insrsid9377159 \r
+\par }{\f36\fs20\insrsid4996380\charrsid1729289 En las estaciones de trabajo de los usuarios se contar\'e1 con clientes Windows 2000 Professional debidamente licenciados}{\f36\fs20\insrsid4465047\charrsid1729289 . T}{\f36\fs20\insrsid4996380\charrsid1729289 \r
+oda la administraci\'f3n del dominio deber\'e1 implemen}{\f36\fs20\insrsid6688377\charrsid1729289 tarse bajo Novell Suse Linux 9, mediante un PDC Samba 3 como reci\'e9n se nombr\'f3,}{\f36\fs20\insrsid4465047\charrsid1729289 y adicionalmente}{\r
+\f36\fs20\insrsid6688377\charrsid1729289 manteniendo un servicio BDC Samba 3 a modo de resguardo}{\f36\fs20\insrsid4465047\charrsid1729289 , y para restaurar el dominio en caso de una ca\'edda del PDC}{\f36\fs20\insrsid6688377\charrsid1729289 .}{\r
+\par Antes de proseguir, cabe destacar que deber\'e1 extenderse el }{\b\f36\fs20\insrsid16085235\charrsid1729289 schema}{\f36\fs20\insrsid16085235\charrsid1729289 del directorio con las clases auxiliares }{\b\f36\fs20\insrsid16085235\charrsid1729289 \r
+posixAccount, shadowAccountn }{\f36\fs20\insrsid16085235\charrsid1729289 y }{\b\f36\fs20\insrsid16085235\charrsid1729289 posixGroup}{\f36\fs20\insrsid16085235\charrsid1729289 , descritas en su totalidad en la RFC }{\r
+\b\f36\fs20\insrsid16085235\charrsid1729289 2307}{\f36\fs20\insrsid16085235\charrsid1729289 junto con las clases que vienen incorporadas en la instalaci\'f3n de Samba (}{\b\f36\fs20\insrsid16085235\charrsid1729289 sambaSamAccount}{\r
+\f36\fs20\insrsid16085235\charrsid1729289 para las cuentas de usuarios de dominio Windows).\r
+\par La siguiente figura }{\f36\fs20\insrsid12086585\charrsid1729289 esquematiza el dominio logrado y su v\'ednculo al directorio:}{\f36\fs20\insrsid9377159\charrsid1729289 \r
-\par De esta manera, los usuarios se podr\'e1n loguear a sus terminales de trabajo y a la aplicaci\'f3n utilizando las mismas credenciales. Se recomienda analizar de incluir un logon script o una herramienta m\'e1s podero\r
-sa de control remoto de terminales para acotar las actividades del usuario dentro de su estaci\'f3n de trabajo.\r
+\par De esta manera, los usuarios se podr\'e1n loguear a sus terminales de trabajo y a la aplicaci\'f3n utilizando las mismas credenciales. Se recomienda analizar de incluir un logon script o una herramienta m\'e1\r
+s poderosa de control remoto de terminales para acotar las actividades del usuario dentro de su estaci\'f3n de trabajo.\r
\par Bajo este esquema de infraestructura l\'f3gica, el usuario contar\'e1 con el beneficio de mantener una \'fanica identidad dentro de la organizaci\'f3n, pudiendo tener un set de credenciales \'fa\r
nico para todos los entornos operativos en donde se movilice y extendiendo este esquema a futuras implementaciones Single Sign On.\r
-\par Se deber\'e1 contratar un ISP para proveer un enlace dedicado que interconecte }{\f36\insrsid4131712 la Sede Central de la Obra Social con todos sus CAPs. Toda la organizaci\'f3n dispondr\'e1 de una \'fanica red privada, y ser\'e1 en la Sede Central el \r
-\'fanico punto con salida a Internet}{\f36\insrsid6452201 , a trav\'e9s de otro enlace provisto por el ISP}{\f36\insrsid4131712 , centralizando de esta manera todos los controles de seguridad frente a amenazas externas. Los usuarios rasos no tendr\'e1\r
-n salida a intenet, utilizando mensajer\'eda interna para comunicarse. El servidor SMTP para los mails deber\'e1 permanecer en el NOC central para controlar el flujo hacia la red exterior.}{\f36\insrsid4465047 \r
-\par }{\f36\insrsid6452201 \r
+\par Se deber\'e1 contratar un ISP para proveer un enlace dedicado que interconecte }{\f36\fs20\insrsid4131712\charrsid1729289 la Sede Central de la Obra Social con todos sus CAPs. Toda la organizaci\'f3n dispondr\'e1 de una \'fanica red privada, y ser\'e1\r
+ en la Sede Central el \'fanico punto con salida a Internet}{\f36\fs20\insrsid6452201\charrsid1729289 , a trav\'e9s de otro enlace provisto por el ISP}{\f36\fs20\insrsid4131712\charrsid1729289 \r
+, centralizando de esta manera todos los controles de seguridad frente a amenazas externas. Los usuarios rasos no tendr\'e1n salida a intenet, utilizando mensajer\'eda interna para comunicarse. El servidor SMTP para los mails deber\'e1\r
+ permanecer en el NOC central para controlar el flujo hacia la red exterior.}{\f36\fs20\insrsid4465047\charrsid1729289 \r
+\par }{\b\f36\fs20\insrsid2522242\charrsid1729289 4 \endash Seguridad frente a accesos externos e internos\r
\par \r
-\par }{\f36\insrsid9053857 Las transacciones que se realicen por las aplicaciones deben realizarse a trav\'e9s de un canal SSL, debiendo implementarse internamente un CA que emita certificados}{\f36\insrsid11496209 ,}{\f36\insrsid9053857 }{\r
-\f36\insrsid11496209 los cuales}{\f36\insrsid9053857 deber\'e1n }{\f36\insrsid11496209 ser incorporados por}{\f36\insrsid9053857 todas las instancias }{\f36\insrsid11496209 clientes }{\f36\insrsid9053857 de la aplicaci\'f3n para poder }{\r
-\f36\insrsid16393822 establecer comunicaciones con las respectivas fuentes de datos.}{\f36\insrsid11496209 Bajo ning\'fan punto de vista se permitir\'e1 informaci\'f3n viajando v\'eda texto plano.}{\f36\insrsid2522242 \r
-\par }{\f36\insrsid14024822 \r
+\par }{\f36\fs20\insrsid9053857\charrsid1729289 Las transacciones que se realicen por las aplicaciones deben realizarse a trav\'e9s de un canal SSL, debiendo implementarse internamente un CA que emita certificados}{\f36\fs20\insrsid11496209\charrsid1729289 ,}{\r
+\f36\fs20\insrsid9053857\charrsid1729289 }{\f36\fs20\insrsid11496209\charrsid1729289 los cuales}{\f36\fs20\insrsid9053857\charrsid1729289 deber\'e1n }{\f36\fs20\insrsid11496209\charrsid1729289 ser incorporados por}{\r
+\f36\fs20\insrsid9053857\charrsid1729289 todas las instancias }{\f36\fs20\insrsid11496209\charrsid1729289 clientes }{\f36\fs20\insrsid9053857\charrsid1729289 de la aplicaci\'f3n para poder }{\f36\fs20\insrsid16393822\charrsid1729289 \r
+establecer comunicaciones con las respectivas fuentes de datos.}{\f36\fs20\insrsid11496209\charrsid1729289 Bajo ning\'fan punto de vista se permitir\'e1 informaci\'f3n viajando v\'eda texto plano.}{\f36\fs20\insrsid2522242\charrsid1729289 \r
\par En relaci\'f3n a esto, tambi\'e9n se deber\'e1n establecer canales SSL para las comunicaciones provenientes desde el exterior. Todos los archivos recibidos por los prestadores deber\'e1n viajar bajo SSL. En este caso se deber\'e1\r
- comprar certificados de un CA correspondiente disponible en Inte}{\f36\insrsid16542367 r}{\f36\insrsid14024822 net para garantizar la identidad de los participantes de la transacci\'f3n.}{\f36\insrsid541785 Los mismos deber\'e1\r
-n ser enviados por SFTP o SCP. En el caso de los archivos subidos desde los prestadores y la cl\'ednica, el formato de los documentos depender\'e1n de la operativa necesitada por la aplicaci\'f3n, pero indepen\r
-dientemente de esto, el documento trasmitido deber\'e1 estar concatenado con la firma digital del origen de manera que garantice el no repudiation de la informaci\'f3n enviada, y adicionalmente, todo este paquete deber\'e1\r
- finalizarse con el hash MD5 del conjunto, certificando as\'ed que la inf}{\f36\insrsid3213315 ormaci\'f3n recibida es la que fue enviada desde el origen}{\f36\insrsid541785 .}{\f36\insrsid14024822 \r
-\par }{\f36\insrsid2245428 \r
-\par }{\f36\insrsid5915161 Para cada CAP deber\'e1 implementarse un firewall de modo que s\'f3lo est\'e9n abiertos los puertos que se utilicen para la aplicaci\'f3n, mail y mensajer\'eda.}{\f36\insrsid4004064 Visto y considerando el desempe\'f1\r
-o y papel que tienen los CAPs, deber\'e1n bloquearse todos los paquetes ICMP ya que no tienen sentido a nivel interno. Deber\'e1n est\'e1r disponibles a la altura del GateWay para que el administrador local de infraestructura pueda hacer debuggings y }{\r
-\f36\insrsid13179560 correcciones en casos de contingencia.}{\f36\insrsid5915161 \r
-\par }{\f36\insrsid8392606 \r
-\par Tambi\'e9n debe est\'e1r debidamente configurado un firewall desde la Sede Central hacia la salida al exterior, permitiendo el paso \'fanico de puertos sobre de nivel aplicativo.}{\f36\insrsid7540356 Se deber\'e1\r
- habilitar exclusivamente la salida a Inteneret para servicios como SMTP y aquellos que necesariamente requieran de la red externa. Asimismo se negociar\'e1\r
- con la parte gerencial, ya que por lo general son los que demandan tener conectividad con Internet, y servicios de mensajer\'eda externos.}{\f36\insrsid8392606 \r
-\par }{\f36\insrsid14682390 \r
+ comprar certificados de un CA correspondiente disponible en Inte}{\f36\fs20\insrsid16542367\charrsid1729289 r}{\f36\fs20\insrsid14024822\charrsid1729289 net para garantizar la identidad de los participantes de la transacci\'f3n.}{\r
+\f36\fs20\insrsid541785\charrsid1729289 Los mismos deber\'e1n ser enviados por SFTP o SCP. En el caso de los archivos subidos desde los prestadores y la cl\'ednica, el formato de los documentos depender\'e1n de la operativa necesitada por la aplicaci\'f3\r
+n, pero independientemente de esto, el documento trasmitido deber\'e1 estar concatenado con la firma digital del origen de manera que garantice el no repudiation de la informaci\'f3n enviada, y adicionalmente, todo este paquete deber\'e1\r
+ finalizarse con el hash MD5 del conjunto, certificando as\'ed que la inf}{\f36\fs20\insrsid3213315\charrsid1729289 ormaci\'f3n recibida es la que fue enviada desde el origen}{\f36\fs20\insrsid541785\charrsid1729289 .}{\r
+\par }{\f36\fs20\insrsid5915161\charrsid1729289 Para cada CAP deber\'e1 implementarse un firewall de modo que s\'f3lo est\'e9n abiertos los puertos que se utilicen para la aplicaci\'f3n, mail y mensajer\'eda.}{\f36\fs20\insrsid4004064\charrsid1729289 \r
+ Visto y considerando el desempe\'f1o y papel que tienen los CAPs, deber\'e1n bloquearse todos los paquetes ICMP ya que no tienen sentido a nivel interno. Deber\'e1n est\'e1\r
+r disponibles a la altura del GateWay para que el administrador local de infraestructura pueda hacer debuggings y }{\f36\fs20\insrsid13179560\charrsid1729289 correcciones en casos de contingencia.}{\f36\fs20\insrsid5915161\charrsid1729289 \r
+\par Tambi\'e9n debe est\'e1r debidamente configurado un firewall desde la Sede Central hacia la salida al exterior, permitiendo el paso \'fanico de puertos sobre de nivel aplicativo.}{\f36\fs20\insrsid7540356\charrsid1729289 Se deber\'e1\r
+ habilitar exclusivamente la salida a Inteneret para servicios como SMTP y aquellos que necesariamente requieran de la red externa. Asimismo se negociar\'e1 con la parte gerenci\r
+al, ya que por lo general son los que demandan tener conectividad con Internet, y servicios de mensajer\'eda externos.}{\f36\fs20\insrsid8392606\charrsid1729289 \r
\par Los WebServers deben est\'e1r detr\'e1s del firewall dentro del NOC de la Sede Central. El mismo est\'e1ra habilitado hacia el exterior para cumplimentar con las transacciones online del cliente. En casos futuros de pasar a un Application Server se deber\r
\'e1 respetar las mismas reglas, reconfigurando el FireWall para que habilitar la entrada y salida hacia el mismo.\r
\par Dado a que se prevee un alto volumen de tr\'e1fico diario con la base de datos, se establecer\'e1 un backupeo de la base de datos, diariamente y en forma progresiva, los cuales ser\'e1\r
n pasados a cinta y almacenados en lugares debidamente custodiados, preferentemente bajo llave electr\'f3nica o mediante autenticaci\'f3n biom\'e9trica.\r
-\par }{\b\f36\insrsid13448394 Servers y software de base}{\f36\insrsid13448394\r
+\par }{\b\f36\fs20\insrsid13448394\charrsid1729289 Servers y software de base}{\f36\fs20\insrsid13448394\charrsid1729289\r
\par \r
-\par Se deben activar todos los logs de los servers y software de base utilizado, con un grado moderado de informaci\'f3n adem\'e1s del timestamp de cada evento detectado}{\f36\insrsid8151511 , e incluyendo de ser posible un owner que haya disparado el evento}\r
-{\f36\insrsid13448394 .}{\f36\insrsid8151511 Los mismos deber\'e1n ser backupeados regularmente a intervalos diarios y bajados a cinta, para auditar a futuro en caso de contingencias.}{\f36\insrsid13502073 \r
- Es fundamental e indispensable que entre los servicios que logueen se encuentren la base de datos de la aplicaci\'f3n (para detectar eventos a nivel transacci\'f3n) y el directorio, para detectar intentos de intrusi\'f3n.}{\f36\insrsid13448394 \r
+\par Se deben activar todos los logs de los servers y software de base utilizado, con un grado moderado de informaci\'f3n adem\'e1s del timestamp de cada evento detectado}{\f36\fs20\insrsid8151511\charrsid1729289 \r
+, e incluyendo de ser posible un owner que haya disparado el evento}{\f36\fs20\insrsid13448394\charrsid1729289 .}{\f36\fs20\insrsid8151511\charrsid1729289 Los mismos deber\'e1n ser backupeados regularmente a i\r
+ntervalos diarios y bajados a cinta, para auditar a futuro en caso de contingencias.}{\f36\fs20\insrsid13502073\charrsid1729289 Es fundamental e indispensable que entre los servicios que logueen se encuentren la base de datos de la aplicaci\'f3\r
+n (para detectar eventos a nivel transacci\'f3n) y el directorio, para detectar intentos de intrusi\'f3n.}{\f36\fs20\insrsid13448394\charrsid1729289 \r
-\par La aplicaci\'f3n deber\'e1 emitir un archivo de log por cada evento ocurrido.}{\f36\insrsid16147095 Principalmente deber\'e1 auditarse la pantalla de login y el logout del usuario, para detectar quien entr\'f3 a la aplicaci\'f3n, quien sali\'f3\r
- y a que hora, as\'ed como intentos de intrusi\'f3n o adivinaci\'f3n de passwords.}{\f36\insrsid13502073 \r
-\par }{\f36\insrsid5138839 \r
+\par La aplicaci\'f3n deber\'e1 emitir un archivo de log por cada evento ocurrido.}{\f36\fs20\insrsid16147095\charrsid1729289 Principalmente deber\'e1 auditarse la pantalla de login y el logout del usuario, para detectar quien entr\'f3 a la aplicaci\'f3\r
+n, quien sali\'f3 y a que hora, as\'ed como intentos de intrusi\'f3n o adivinaci\'f3n de passwords.}{\f36\fs20\insrsid13502073\charrsid1729289 \r
\par Dentro de la aplicaci\'f3n se deber\'e1 loguear cada transacci\'f3n cr\'edtica con la base (como inserts o updates, no es necesario autidar selects a este nivel, para ello est\'e1ra el log de la base de dato propia). Tambi\'e9n deber\'e1\r
n auditarse aquellas operaciones a nivel de negocio, como por ejemplo la anexi\'f3n de un Afiliado y por quien fue realizada, con su respectivo timestamp.\r
-\par }{\f36\insrsid3936840\r
-\par }{\b\f36\insrsid3936840 7 \endash Seguridad dentro de la aplicaci\'f3n}{\f36\insrsid3936840\r
+\par }{\b\f36\fs20\insrsid3936840\charrsid1729289 7 \endash Seguridad dentro de la aplicaci\'f3n}{\f36\fs20\insrsid3936840\charrsid1729289\r
\par \r
-\par Desde el momento del desarrollo se deber\'e1n tener las precauciones necesarias para evitar ataques comunes. Es obligatorio que en ning\'fan momento valores introducidos por el usuario sean llevados di\r
-rectamente a la base de datos. Las transacciones con la misma deben estar en una capa superior evitando ataques indirectos a la base de datos, como }{\b\f36\insrsid3936840 sql injection}{\f36\insrsid3936840 \r
-. En el caso de ser absolutamente necesario llevar el contenido de una entrada del usuario a una sentencia sql, la misma deber\'e1\r
- obligatoriamente parsearse con expresiones regulares a fin de detectar que venga sql embebido en la misma, el cual pudiera ocasionar inclusive hasta el}{\f36\insrsid1532427 borrado de las tablas si se tuvieran los permisos necesarios.}{\r
-\f36\insrsid3936840 \r
-\par }{\f36\insrsid1532427 \r
-\par Referido a esto \'faltimo, se deber\'e1 prearmar un usuario para el acceso a la base de datos, el cual deba tener restringido el acceso a la misma para hacer operaciones sobre el esquema de la misma. }{\f36\insrsid5839235 \r
+\par Desde el momento del desarrollo se deber\'e1n tener las precauciones necesarias para evitar ataques comunes. Es obligatorio que en ning\'fa\r
+n momento valores introducidos por el usuario sean llevados directamente a la base de datos. Las transacciones con la misma deben estar en una capa superior evitando ataques indirectos a la base de datos, como }{\b\f36\fs20\insrsid3936840\charrsid1729289 \r
+sql injection}{\f36\fs20\insrsid3936840\charrsid1729289 . En el caso de ser absolutamente necesario llevar el contenido de una entrada del usuario a una sentencia sql, la misma deber\'e1 obligatoriamente parsearse con expresiones regulares a\r
+ fin de detectar que venga sql embebido en la misma, el cual pudiera ocasionar inclusive hasta el}{\f36\fs20\insrsid1532427\charrsid1729289 borrado de las tablas si se tuvieran los permisos necesarios.}{\f36\fs20\insrsid3936840\charrsid1729289 \r
+\par Referido a esto \'faltimo, se deber\'e1 prearmar un usuario para el acceso a la base de datos, el cual deba tener restringido el acceso a la misma para hacer operaciones sobre el esquema de la misma. }{\f36\fs20\insrsid5839235\charrsid1729289 \r
El usuario en el cual se impersonificar\'e1 la apliaci\'f3n deber\'e1 tener permiso de lectura sobre las tablas y escritura y update de las mismas, de ning\'fan modo podr\'e1 hacer alteraciones al esquema f\'ed\r
-sico que compone la base de datos de la aplicaci\'f3n.}{\f36\insrsid1532427\r
-\par }{\f36\insrsid15409153\r
-\par }{\b\f36\insrsid15409153 8 \endash Detecci\'f3n de intrusiones}{\f36\insrsid15409153\r
+sico que compone la base de datos de la aplicaci\'f3n.}{\f36\fs20\insrsid1532427\charrsid1729289\r
+\par }{\b\f36\fs20\insrsid15409153\charrsid1729289 8 \endash Detecci\'f3n de intrusiones}{\f36\fs20\insrsid15409153\charrsid1729289\r
\par \r
\par Para respaldar la seguridad de los usuarios, se establece como m\'e1ximo un n\'famero de 3 intentos seguidos de login. Si el cuarto intento es fallido, la aplicaci\'f3n debe lockear la cuenta del usuario v\'eda LDAP e inhabilitar al mismo}{\r
-\f36\insrsid16649806 . S\'f3lo el administrador LDAP deber\'e1 ser capaz de }{\f36\insrsid5794809 rehabilitar y poner online al usuario, y en caso de p\'e9rdida de password, el administrador LDAP deber\'e1 setear un password gen\'e9rico \'93password123\r
-\'94 y se requerir\'e1 al usuario que cambie el password en el dominio al reingresar a la estaci\'f3n de trabajo.}{\f36\insrsid15409153\charrsid15409153 \r
+\f36\fs20\insrsid16649806\charrsid1729289 . S\'f3lo el administrador LDAP deber\'e1 ser capaz de }{\f36\fs20\insrsid5794809\charrsid1729289 rehabilitar y poner online al usuario, y en caso de p\'e9rdida de password, el administrador LDAP deber\'e1\r
+ setear un password gen\'e9rico \'93password123\'94 y se requerir\'e1 al usuario que cambie el password en el dominio al reingresar a la estaci\'f3n de trabajo.}{\f36\fs20\insrsid15409153\charrsid1729289 \r