Evaluación de las amenazas de seguridad y privacidad para Office System 2007
Actualizado: febrero de 2009
Se aplica a: Office Resource Kit
Última modificación del tema: 2009-02-05
En este artículo:
Información general sobre las amenazas de seguridad
Amenazas de código y de aplicación
Amenazas de documento
Amenazas externas
Amenazas de Internet Explorer
Amenazas de privacidad
Vulnerabilidades de seguridad
Una configuración de escritorio segura es una parte importante de la estrategia de defensa en profundidad de cualquier organización. Pero antes de planear una configuración de escritorio segura que incluya 2007 Microsoft Office system, necesita comprender qué amenazas de seguridad son relevantes para 2007 Office System y, a continuación, identificar cuáles de esas amenazas de seguridad suponen un riesgo para los activos o procesos de negocio de la organización. También debe identificar qué amenazas de privacidad suponen un riesgo para la información personal y privada de los usuarios.
Información general sobre las amenazas de seguridad
El modelo de seguridad de 2007 Office System ayuda a mitigar seis tipos de amenazas de seguridad. Cada una de estas amenazas de seguridad incluye varios agentes de amenaza y puede ser vulnerable a una amplia gama de ataques de seguridad. La siguiente ilustración muestra amenazas de seguridad y ejemplos de los agentes de amenaza más comunes.
.gif "Amenazas de seguridad y privacidad")
La mayoría de las organizaciones se enfrentan a algún riesgo potencial procedente de cada una de las seis amenazas de seguridad. Sin embargo, no todas las organizaciones se enfrentan a los mismos agentes de amenaza, ni se enfrentan a los mismos ataques de seguridad o vulnerabilidades. Como primer paso en la planeación de una configuración de escritorio segura que incluya a 2007 Office System, use las instrucciones proporcionadas en las secciones siguientes para determinar:
Cuáles de las seis amenazas de seguridad son relevantes.
Qué agentes de amenaza suponen un riesgo potencial.
Cómo pueden aprovechar los atacantes estos agentes de amenaza.
La organización debería tener varios documentos que le ayuden a identificar las amenazas de la organización, incluidos los modelos de amenaza, los planes de seguridad y los planes de operaciones. Además de los documentos en los que confía, asegúrese de tener en cuenta lo siguiente cuando evalúe las amenazas de seguridad:
Arquitectura de seguridad de la red (por ejemplo, diseño de red perimetral, diseño de extranet, diseño de firewall y diseño de servidor proxy).
Directivas de seguridad física (por ejemplo, restricciones de acceso al edificio, directivas de retención de documentos y directivas de seguridad de equipos portátiles).
Directivas de privacidad (por ejemplo, definiciones de información personal y privada).
Infraestructura de autenticación y autorización (por ejemplo, cómo reciben permiso los clientes, proveedores o socios para obtener acceso a la red).
Plan de respuesta para defenderse de las amenazas de seguridad inesperadas.
Directivas de uso personal de correo electrónico y acceso a Internet.
Además, asegúrese de actualizar el modelo de amenazas o plan de seguridad existentes de la organización si identifica nuevas amenazas o nuevos agentes de amenaza.
Amenazas de código y de aplicación
Las amenazas de código y de aplicación son amenazas comunes para la seguridad del escritorio. Los agentes de amenaza típicos incluyen controles ActiveX, complementos y macros de Visual Basic para Aplicaciones (VBA). Estos agentes de amenaza pueden ser aprovechados por los programadores que escriben código malintencionado o crean programas malintencionados, que luego se ejecutan en el equipo del usuario. Las amenazas de código y de aplicación suponen un riesgo potencial para las organizaciones de cualquier tamaño. En concreto, las amenazas de código y de aplicación suponen un riesgo potencial para la organización si la organización permite a los usuarios:
Ejecutar macros, controles ActiveX o complementos.
Recibir archivos adjuntos de correo electrónico.
Compartir documentos en una red pública, como Internet.
Abrir documentos de orígenes externos a la organización, como clientes, proveedores o socios.
Si las amenazas de código y de aplicación suponen un riesgo para la organización, vea Evaluación de la configuración de seguridad y las opciones de privacidad para 2007 Office system para determinar si necesita cambiar la configuración de seguridad predeterminada para mitigar dichas amenazas.
Amenazas de documento
Las amenazas de documento se producen cuando usuarios no autorizados intentan obtener acceso a documentos de la organización o a la información contenida en documentos de la organización. Cuando los atacantes no autorizados o intrusos obtienen acceso a un documento, los resultados pueden incluir la pérdida de:
Confidencialidad (los datos del documento ya no son de su propiedad).
Integridad (los datos del documento se han modificado o dañado).
Contenido (faltan datos del documento).
La mayoría de las organizaciones se enfrentan a amenazas de documento, aunque muchas deciden no mitigar estas amenazas porque las consideran mínimas o creen que el costo administrativo de mitigarlas es alto. No obstante, las amenazas de documento suponen un riesgo para la organización cuando ocurre cualquiera de estas situaciones:
La arquitectura de seguridad de la red de la organización no puede impedir que los intrusos o atacantes obtengan acceso a la red interna, lo que aumenta el riesgo de que puedan obtener acceso a los documentos de la organización.
La organización permite a los usuarios enviar, recibir o compartir documentos de su propiedad a través de Internet, incluidos datos financieros, planes de proyecto, presentaciones o diseños.
La organización permite a los usuarios conectar equipos portátiles a redes públicas, lo que aumenta el riesgo de que intrusos no identificables obtengan acceso a los documentos almacenados en los equipos portátiles de los usuarios.
La organización permite a los usuarios sacar documentos con información de su propiedad fuera de la oficina.
Cree que hay una posibilidad de que atacantes no autorizados o intrusos puedan obtener acceso a documentos que contienen información de su propiedad.
Si las amenazas de documento suponen un riesgo para la organización, vea Evaluación de la configuración de seguridad y las opciones de privacidad para 2007 Office system para determinar si necesita cambiar la configuración de seguridad predeterminada para mitigar las amenazas de documento.
Amenazas externas
Las amenazas externas incluyen cualquier agente de amenaza que vincule un documento a otro documento, base de datos o sitio web en una intranet o red pública, como Internet. Las amenazas externas se pueden aprovechar a través de los siguientes agentes de amenaza:
Hipervínculos Normalmente, los atacantes aprovechan este agente de amenaza creando hipervínculos a documentos o sitios web que no son de confianza y que contienen código o contenido malintencionado.
Conexiones de datos Normalmente, los atacantes aprovechan este agente de amenaza creando una conexión de datos a un origen de datos o base de datos y, a continuación, usando esa conexión de datos para manipular o extraer datos de forma malintencionada.
Balizas web Normalmente, los atacantes aprovechan este agente de amenaza incrustando un vínculo invisible a una imagen remota en un mensaje de correo electrónico. Cuando un usuario abre el mensaje de correo electrónico, el vínculo se activa y descarga la imagen remota. Al hacerlo, se puede enviar información del usuario al equipo remoto, como la dirección de correo electrónico del usuario y la dirección IP del equipo.
Objetos de empaquetador Los atacantes pueden aprovechar este agente de amenaza haciendo que un objeto incrustado ejecute código malintencionado.
Las amenazas externas suponen un riesgo si la organización:
Proporciona a los usuarios acceso no restringido a redes públicas, como Internet.
Permite a los usuarios recibir mensajes de correo electrónico que contienen imágenes incrustadas y HTML.
Permite a los usuarios usar conexiones de datos en hojas de cálculo u otros documentos.
Si las amenazas externas suponen un riesgo para la organización, vea Evaluación de la configuración de seguridad y las opciones de privacidad para 2007 Office system para determinar si tiene que cambiar la configuración de seguridad predeterminada para mitigar las amenazas externas.
Amenazas de Internet Explorer
Las amenazas de Internet Explorer pueden producirse cuando una aplicación o un documento usan mediante programación la funcionalidad de Internet Explorer. Las amenazas de Internet Explorer suponen un riesgo para las aplicaciones y los documentos porque todas las amenazas que existen para Internet Explorer también existen para la aplicación o documento donde se hospeda Internet Explorer. Las amenazas de Internet Explorer incluyen numerosos agentes de amenaza y pueden explotarse a través de una amplia variedad de ataques de seguridad. Algunos ejemplos de estos agentes de amenaza son la instalación de controles ActiveX, la descarga de archivos, el análisis de Extensiones multipropósito de correo Internet (MIME), la elevación de zona y la instalación de complementos.
Las amenazas de Internet Explorer suponen un riesgo si la organización:
Permite a los usuarios ejecutar controles ActiveX, complementos o macros que usan la funcionalidad de Internet Explorer.
Desarrolla y distribuye soluciones de Office que invocan la funcionalidad de Internet Explorer.
Si la organización se enfrenta a amenazas de Internet Explorer, vea Evaluación de la configuración de seguridad y las opciones de privacidad para 2007 Office system para determinar si necesita cambiar la configuración de seguridad predeterminada para mitigar las amenazas de Internet Explorer.
Amenazas de privacidad
Las amenazas de privacidad incluyen cualquier agente de amenaza que publica o revela información personal o privada sin el conocimiento o consentimiento del usuario. Las amenazas de privacidad pueden explotarse a través de varios agentes de amenaza, pero el más común son los datos ocultos en el documento, denominados metadatos. Los metadatos permiten a los usuarios registrar o realizar un seguimiento de las propiedades del documento, como el nombre del autor, el nombre de la organización, la fecha de modificación del documento o el número de versión. Los metadatos se pueden quitar de un documento, pero si no se hace, cualquier usuario puede abrir el documento y tener acceso a los metadatos.
También se pueden aprovechar las amenazas de privacidad cuando un documento contiene contenido adicional que se considera confidencial o propiedad de la empresa, como comentarios, revisiones, anotaciones, datos XML personalizados, texto oculto, marcas de agua e información de encabezado y pie de página. A menos que este contenido se quite de un documento, cualquier persona que tenga acceso al documento también tendrá acceso al contenido adicional.
Además de las amenazas de privacidad, hay situaciones en que se puede publicar o revelar información privada mediante la habilitación o el uso de varias características o funcionalidades de aplicación. Aunque estas características y funcionalidades no se consideran agentes de amenaza, pueden publicar o revelar información personal o privada que la organización considere confidencial o de su propiedad.
Para obtener más información acerca de la privacidad, vea la "Declaración de privacidad de 2007 Microsoft Office System", a la que puede obtener acceso desde el Centro de confianza si hace clic en Opciones de privacidad y, a continuación, hace clic en Lea nuestra declaración de privacidad.
La mayoría de las organizaciones se enfrentan a amenazas de privacidad o desean administrar de forma activa la divulgación de información privada o personal. Vea Evaluación de la configuración de seguridad y las opciones de privacidad para 2007 Office system para determinar si necesita cambiar las opciones de privacidad predeterminadas o si tiene que cambiar la configuración de seguridad predeterminada para mitigar las amenazas de privacidad.
Vulnerabilidades de seguridad
Una vulnerabilidad de seguridad es un tipo especial de amenaza de seguridad que se resuelve mediante una actualización de software, por ejemplo, un boletín de seguridad Microsoft o un Service Pack. Las vulnerabilidades de seguridad pueden incluir una amplia gama de agentes de amenaza, como:
Ejecución remota de código
Elevación de privilegios
Divulgación de información
Los programadores y usuarios malintencionados pueden aprovechar las vulnerabilidades de seguridad a través de varios ataques de seguridad. Hasta que se publica un boletín de seguridad o un Service Pack para responder a la vulnerabilidad de seguridad, ésta puede suponer una amenaza potencial para la organización. Si las vulnerabilidades de seguridad suponen una amenaza potencial para la organización, vea “Evaluación de la configuración de seguridad predeterminada para las vulnerabilidades de seguridad” en Evaluación de la configuración de seguridad y las opciones de privacidad para 2007 Office system para determinar si tiene que cambiar la configuración de seguridad predeterminada para las vulnerabilidades de seguridad.
Descargar este libro
En este tema se incluye el siguiente libro descargable para facilitar la lectura y la impresión:
Vea la lista completa de libros disponibles en la página de contenido descargable para el kit de recursos de 2007 Office.