Identifying Data

2014/15

Subject (*)

Lexislación e Seguridade Informática

Code

614G01024

Study programme

Grao en Enxeñaría Informática

Descriptors

Cycle

Period

Year

Type

Credits

Graduate

1st four-month period

Third

Obligatoria

Language

Spanish

Galician

Prerequisites

Department

Dereito Público Especial
Tecnoloxías da Información e as Comunicacións

Coordinador

Santos Del Riego, Antonino

E-mail

antonino.santos@udc.es

Lecturers

Ballesteros Soriano, Alfonso

Carballal Mato, Adrián

Santos Del Riego, Antonino

Vázquez Naya, José Manuel

E-mail

alfonso.ballesteros@udc.es

adrian.carballal@udc.es

antonino.santos@udc.es

jose.manuel.vazquez.naya@udc.es

Web

http://psi-udc.blogspot.com/

General description

É a finais dos oitenta, principalmente polo uso da rede Internet, cando a seguridade da información transfórmase nunha necesidade. A finais dos 90 as ameazas aos sistemas "abertos" á rede Internet xeneralízanse e a seguridade da información toma unha gran relevancia. Na actualidade, as empresas, os gobernos e a sociedade en xeral demandan un maior número de expertos en seguridade informática.

Hoxe en día un profesional das tecnoloxías da información e as comunicacións, tanto do ámbito dos sistemas como do desenvolvemento do software, sen uns bos fundamentos en seguridade, estará claramente devaluado. A nosa profesión non consiste unicamente na administración de sistemas e desenvolvemento de software e hardware. Noutras palabras, un programa ou sistema que simplemente funciona, sen considerar o factor seguridade, pode supor un gran perigo para unha organización. O apagar e acender unha máquina pode arranxar un problema, a análise das causas e a procura de solucións constitúe unha clara diferenza entre un bo e mal profesional.

Na materia de Lexislación e Seguridade Informática proporciónase ao alumno uns fundamentos en seguridade da información, e con iso un valor engadido sobre outros "profesionais" do sector. En todo momento centrámonos naqueles aspectos de interese para o seu futuro profesional, tentado levar os contidos da materia cara aos temas e contornas de relevancia para o mundo empresarial. A nosa profesión céntrase en "facer", non unicamente en "saber facer", e se é posible en "facelo o mellor posible". E, que nos piden as empresas?, claramente profesionais que saiban o que hai que facer, que o fagan ben, no menor dos tempos e cun custo mínimo. Sen ningunha dúbida, "deseñar" e "construír" profesionais deste tipo, altamente produtivos, é unha tarefa moi complexa.

Obxectivos.:

- Adquirir os fundamentos en seguridade necesarios para proporcionar un valor engadido aos nosos futuros profesionais.
- As ameazas que sofre a información durante o seu proceso, almacenamento e transmisión son crecentes, multiformes e complexas. Para contrarrestalas desenvolvéronse numerosas medidas de protección, que se implementan mediante os denominados mecanismos de seguridade. A lista destes mecanismos é xa moi numerosa e nela atópase, entre outros moitos: procesos de identificación e autenticación, control de accesos, control de fluxo de información, rexistros de auditoría, cifrado de información, etc. Ser consciente desta realidade, coas súas vantaxes e limitacións, proporcionará aos alumnos unha base para afrontar unha gran parte das implementaciones tecnolóxicas ás que se poidan enfrontar no seu futuro profesional.
- Identificar os aspectos relacionados coa seguridade da información, tanto desde o punto de vista técnico como legal, proporcionando as habilidades necesarias para "saber o que hai que facer", "facelo o mellor posible", no menor tempo e cun custo mínimo. Neste contexto será fundamental a exposición e estudo de casos reais, reforzando no alumno a necesidade de utilizar en todo momento o "sentido común", afastando da toma de decisións os moitos perigos e factores que poden "contaminar", total ou parcialmente, moitos dos nosos desenvolvementos.
- Analizar os aspectos prácticos da contorna legal no que se desenvolverá a futura actividade profesional dos nosos alumnos, con especial referencia ás súas obrigacións en materia de datos de carácter persoal e seguridade informática.
- Un alumno que senta un gran entusiasmo polas tecnoloxías proporcionará ás nosas empresas uns maiores niveis de produtividade, e durante máis tempo. Reforzar esta calidade no alumno, e espertala nos que a poidan ter lixeiramente aletargada será un dos principais obxectivos da materia.

Study programme competencies

Code	Study programme competences
A5	Coñecemento da estrutura, organización, funcionamento e interconexión dos sistemas informáticos, os fundamentos da súa programación e a súa aplicación para a resolución de problemas propios da enxeñaría.
A7	Capacidade para deseñar, desenvolver, seleccionar e avaliar aplicacións e sistemas informáticos que aseguren a súa fiabilidade, seguranza e calidade, conforme a principios éticos e á lexislación e normativa vixente.
A24	Coñecemento da normativa e a regulación da informática nos ámbitos nacional, europeo e internacional.
A36	Capacidade para comprender, aplicar e xestionar a garantía e a seguridade dos sistemas informáticos.
A47	Capacidade para determinar os requisitos dos sistemas de información e comunicación dunha organización de acordo cos aspectos de seguridade e cumprimento da normativa e a lexislación vixente.
A50	Capacidade para comprender e aplicar os principios da avaliación de riscos e aplicalos correctamente na elaboración e execución de plans de actuación.
A58	Capacidade para comprender, aplicar e xestionar a garantía e seguranza dos sistemas informáticos.
B1	Capacidade de resolución de problemas
B3	Capacidade de análise e síntese
B4	Capacidade para organizar e planificar
B5	Habilidades de xestión da información
B6	Toma de decisións
B7	Preocupación pola calidade
C3	Utilizar as ferramentas básicas das tecnoloxías da información e as comunicacións (TIC) necesarias para o exercicio da súa profesión e para a aprendizaxe ao longo da súa vida.
C4	Desenvolverse para o exercicio dunha cidadanía aberta, culta, crítica, comprometida, democrática e solidaria, capaz de analizar a realidade, diagnosticar problemas, formular e implantar solucións baseadas no coñecemento e orientadas ao ben común.
C5	Entender a importancia da cultura emprendedora e coñecer os medios ao alcance das persoas emprendedoras.
C6	Valorar criticamente o coñecemento, a tecnoloxía e a información dispoñible para resolver os problemas cos que deben enfrontarse.
C7	Asumir como profesional e cidadán a importancia da aprendizaxe ao longo da vida.
C8	Valorar a importancia que ten a investigación, a innovación e o desenvolvemento tecnolóxico no avance socioeconómico e cultural da sociedade.

Learning aims

Subject competencies (Learning outcomes)	Study programme competences
Definir os riscos e vulnerabilidades dun sistema de información.	A5 A7 A36 A47 A50 A58	B1 B6 B7	C3 C7
Identificar os fundamentos da certificación dixital.	A58		C3
Identificar os mecanismos de seguridade e a súa integración nas organizacións.	A5 A7 A47 A50 A58	B1 B6 B7	C3 C7
Utilizar as ferramentas de seguridade.			C3
Organizar a seguridade dun sistema de información.	A5 A7 A36 A47 A50 A58	B1 B6 B7	C3 C7
Asumir responsabilidades sobre os sistemas de información e tomar decisións en canto á súa seguridade.	A5 A7 A36 A47 A50 A58	B4 B5 B6	C7
Aplicar o "sentido común" na toma de decisións, identificando os moitos perigos e factores que poden "contaminar", total ou parcialmente, moitos dos nosos desenvolvementos.		B6 B7	C6 C7
Enfrontarse a casos "reais" e "saber o que hai que facer", "facelo o mellor posible", no menor tempo e cun custo mínimo.	A5 A7 A36 A47 A50 A58	B1 B6 B7	C7
Evitar a proliferación de profesionais mediocres que, no peor dos casos, especialícense na destrución de todo o que tocan.		B1 B6 B7	C4 C5 C6 C7 C8
Coñecer a regulación legal da sociedade da información e da protección dos datos de carácter persoal, con especial atención á seguridade informática.	A7 A24 A47 A58
Comportarse con ética e responsabilidade social como cidadán e profesional.			C4
Razoamento crítico, en especial en relación cos valores e os dereitos.	A7 A24 A47	B3 B6	C6
Capacidade para a análise e a síntese.		B1 B3 B5 B6	C6

Contents

Topic	Sub-topic
Foundations and categories of attacks.
The trilogy (hosts discovery, port scanning, fingerprinting)
Hiding.
“Sniffing”.
[D]DoS.
Physical security.
Monitoring and filtered in information security.
Digital certificates and certification authorities.
Methodologies and security audits.
A regulación xurídica da informática.	- Dereito. Elementos e conceptos xurídicos básicos. - Ética profesional e deontología. - Autorregulación. Códigos de conduta, códigos de práctica, códigos tipo.
A prestación de servizos e a tutela dos dereitos na sociedade da información.	- A prestación de servizos na sociedade da información. Servizos de intermediación. Servizos de certificación. - A contratación electrónica e a contratación informática. - As comunicacións comerciais electrónicas. - A firma electrónica. - A administración electrónica. - A resolución xudicial de conflitos. - As solucións extraxudiciais. A autorregulación. A arbitraxe electrónica.
A protección dos datos de carácter persoal.	- Introdución e delimitacións conceptuais. - Constitución, dereitos fundamentais e protección de datos. - A lexislación española de protección de datos de carácter persoal. Disposicións xerais. Principios. Suxeitos. Dereitos. Obrigacións. Medidas de seguridade. Procedementos. - Autorregulación e protección de datos persoais. - Criminalidade informática e datos persoais.
Practices and Seminars.	- Security (foundations and basic configurations). - Categories of attacks and identification of resources. - Securing the physical level. - Certification authorities. - Security audits.

Planning

Methodologies / tests	Ordinary class hours	Student’s personal work hours	Total hours
Laboratory practice	18	27	45
Multiple-choice questions	0.5	0	0.5
Guest lecture / keynote speech	27	40.5	67.5
Seminar	10	15	25
Document analysis	3	3.6	6.6
Case study	2	2.4	4.4

Personalized attention	1	0	1

(*)The information in the planning table is for guidance only and does not take into account the heterogeneity of the students.

Methodologies

Methodologies	Description
Laboratory practice	As prácticas de laboratorio permiten sacar o máximo proveito na retroalimentación, reforzo e asimilación dos obxectivos. Os desenvolvementos prácticos inícianse cunha práctica básica, e elévase a súa dificultade paulatinamente. En todo momento preséntase ao alumno o conxunto de ideas e técnicas que permiten o desenvolvemento práctico dos coñecementos transmitidos nas sesións maxistrais. Nas prácticas proponse diversos apartados que expoñen unha batería de dificultades tratadas durante o estudo do tema. Buscarase a interrelación entre os distintos apartados, achegando un contexto de exercicio completo, para lograr no alumno unha visión de conxunto, revelando os nexos existentes entre cuestións que poderían parecer afastadas. En todas as clases prácticas utilízanse máquinas virtuais sobre computadoras como ferramenta básica para a resolución dos exercicios. O alumno poderá seleccionar e instalar aquelas ferramentas que considere máis oportunas en cada caso. Desta forma, requiriráselle, desde un primeiro momento, que se enfronte a toma de decisións, analizando as vantaxes e desvantaxes en todos e cada un dos casos. Neste punto inicial, será fundamental un asesoramento personalizado, que permita unha análise realista sobre as decisións tomadas, facilitando a retroalimentación de novos parámetros non considerados a priori.
Multiple-choice questions	Esta proba estará orientada a determinar se o alumno asimilou os distintos obxectivos da materia.
Guest lecture / keynote speech	Transmisión de información e coñecementos crave de cada un dos temas. Poténciase en certos momentos a participación do alumno. Como parte da metodoloxía, un enfoque crítico da disciplina levará aos alumnos a reflexionar e descubrir as relacións entre os diversos conceptos, formar unha mentalidade crítica para afrontar os problemas e a existencia dun método, facilitando o proceso de aprendizaxe no alumno. Tamén será fundamental a transmisión dos conceptos e coñecementos éticos e xurídicos básicos en seguridade da información. A súa singularidade fai que se dedique certo tempo á exposición da linguaxe específica que soporta os conceptos, e que serve de principal medio de comunicación e argumentación ética e xurídica. Isto permitirá ao alumno comprender a linguaxe e os conceptos que integran os aspectos éticos e xurídicos da informática. Para loitar contra a posible pasividade do alumno, en certos momentos exponse pequenas cuestións, que fagan reflexionar ao alumno, complementando devanditos aspectos con referencias bibliográficas que lle permitan enriquecer o coñecemento adquirido. Este intercambio co alumno, como parte da lección maxistral, permítenos controlar o grao de asimilación dos coñecementos por parte do mesmo. As leccións maxistrais inclúen, tanto coñecementos extraídos das referencias da asginatura, como os resultantes de nosas propias experiencias profesionais, fomentando a capacidade de análise crítica. En todo momento búscase que certa parte dos contidos achegados non requiran do alumno unha tarefa de memorización. Esta metodoloxía tratará de conseguir un alto grao de motivación no alumno.
Seminar	Os seminarios configuraranse como unha extensión das prácticas de laboratorio. A diferenza destas, potenciarase o desenvolvemento práctico en grupos, fronte ao traballo individual nas prácticas de laboratorio. O traballo en común cos alumnos permitiranos valorar o progreso da clase cara aos obxectivos marcados.
Document analysis	Lectura e exame crítico dos principais documentos éticos e xurídicos da informática. Serven de introdución xeral aos temas. Proporcionan unha explicación histórica e sistemática do seu significado. Son de gran impotancia no contexto do resto de metologías utilizadas na materia.
Case study	A análise ética e xurídica da informática ten unhas características específicas. Co estudo de casos preténdese examinar a estrutura e os contidos dos problemas presentes nos casos, tanto de maneira individual como en grupo. É unha forma de aprendizaxe de contidos e tamén metodolóxica, na que o estudante aprende a analizar, deliberar e chegar a conclusións fundamentadas e razoables cos argumentos éticos e xurídicos. Resulta de gran utilidade para exercitar as destrezas e habilidades argumentativas.

Personalized attention

Methodologies

Seminar

Laboratory practice

Description

Prácticas de laboratorio.: Se guía ao alumno de forma individualizada no desenvolvemento de cada unha das prácticas de laboratorio. Aínda que no desenvolvemento da primeira práctica existen grandes diferenzas nas necesidades de cada alumno, progresivamente vanse homoxeneizando en canto ás súas necesidades de atención personalizada. Sen ningunha dúbida, a identificación deste parámetro é fundamental para determinar que a totalidade dos alumnos progresa durante o desenvolvemento da materia.

Seminarios.: Mediante o traballo conxunto en desenvolvementos prácticos con pequenos grupos formados en cada seminario.

Atención personalizada.: Toda cuestión tecnolóxica exposta polo alumno, en persoa, tutorías, email., etc.

Assessment

Methodologies	Description	Qualification
Seminar	Cada grupo formado nos seminarios, e tras considerar que superou cada exercicio proposto, deberá pasar unha pequena proba oral. Tamén se exporán pequenas cuestións, que fagan reflexionar ao alumno, e permítannos controlar o grao de asimilación dos coñecementos por parte do mesmo.	10
Laboratory practice	Cada alumno de prácticas de laboratorio, e tras considerar que superou cada práctica, sempre antes do prazo establecido para cada práctica-seminario, deberá pasar unha pequena proba oral. Nela o profesor expón un par de pequenas probas que os alumnos deberán resolver sobre as máquinas virtuais do laboratorio de prácticas, defendendo os seus desenvolvementos de forma oral.	20
Guest lecture / keynote speech	Para loitar contra a posible pasividade do alumno, en certos momentos das sesións maxistrais exponse pequenas cuestións, que fagan reflexionar ao alumno. Este intercambio co alumno, como parte da lección maxistral, permítenos controlar o grao de asimilación dos coñecementos por parte do mesmo. Para potenciar a participación do alumno estás cuestións teñen asignado unha pequena puntuación, segundo o grao de dificultade (puntuación complementaria fóra de guía).	0
Multiple-choice questions	Esta proba inclúe os contidos e, en xeral, todo aspecto relacionado cos obxectivos da materia. Nela exponse diversas cuestións relacionadas tanto cos contidos das sesións maxistrais como das prácticas de laboratorio, dándolle un maior peso ás primeiras.	70

Assessment comments
Para aprobar a materia será necesario ter superadas as prácticas de laboratorio e os seminarios. Na convocatoria de xullo, na súa falta, á proba de resposta múltiple engadiráselle unha proba da parte práctica, que deberá ser superada por separado.

Sources of information

Basic	Lorenzo COTINO, Julián VLAERO (coords.) (2010). Administración electrónica. Valencia: Tirant lo Blanch Gonzalo F. GÁLLEGO HIGUERAS (2010). Código de Derecho informático y de las nuevas tecnologías. Madrid: Civitas Javier ORDUÑA, Gonzalo AGUILERA (dir.) (2009). Comercio, Administración y Registros electrónicos. Madrid: Civitas Manuel CASTELLS (2009). Comunicación y poder. Madrid: Alianza (). Criptored. http://www.criptored.upm.es/ debian.org (). Debian. http://www.debian.org/ José Luis PIÑAR MAÑAS (dir.) (2011). electrónica y ciudadanos. Madrid: Civitas José APARICIO SALOM (2009). Estudio sobre la Ley Orgánica de protección de datos de carácter personal. Pamplona: Aranzadi Antonio TRONCOSO (2010). La protección de datos personales. En busca del equilibrio. Valencia: Tirant lo Blanch A. Santos del Riego (). Legislación [Protección] y Seguridad de la Información. http://psi-udc.blogspot.com Miguel Ángel DAVARA RODRÍGUEZ (2008). Manual de Derecho informático. Pamplona: Aranzadi Willian Stallings (2014). Network Security Essentials. Applications and Standards. Prentice Hall Packet Storm (). Packet Storm. http://packetstormsecurity.org/ Miguel PEGUERA POCH (coord.) (2010). Principio de Derecho de la sociedad de la información. Cizur Menor: Aranzadi yolinux (). yolinux. http://www.yolinux.com/

Complementary	(). (in)secure magazine. http://www.net-security.org/insecure-archive.php (). AntiOnline. http://www.antionline.com/ (). CERT:Computer Emergence Response Team. http://www.cert.org (). Common Vulnerabilities and Exposures (CVE). http://www.cve.mitre.org/ (). Delitos Informáticos. http://www.delitosinformaticos.com/ Pedro DE MIGUEL ASENSIO (2011). Derecho privado de internet. Madrid: Civitas Lawrence LESSIG (2001). El código y otras leyes del ciberespacio. Madrid, Taurus Fernando MIRÓ LLINARES (2005). Internet y delitos contra la propiedad intelectual. Valencia: Tirant lo Blanch Esther MORÓN LERMA (2002). Internet y Derecho penal. Pamplona: Aranzadi Pekka HIMANEN (2002). La ética del hacker y el espíritu de la era de la información. Barcelona, Destino Antoni FARRIOLS I SOLA (2006). La protección de datos de carácter personal en los centros de trabajo. Madrid: Cinca Justo GÓMEZ NAVAJAS (2005). La protección de los datos personales. Cizur Menor, Thomson Civitas (). Linux Journal. http://www.linuxjournal.com/ (). NIST Computer Security Division. http://csrc.nist.gov/ (). Security art work. http://www.securityartwork.com/ (). Security by default. http://www.securitybydefault.com/ (). Security Focus. http://www.securityfocus.com/

Recommendations

Subjects that it is recommended to have taken before

Subjects that are recommended to be taken simultaneously

Subjects that continue the syllabus

Other comments

(*)The teaching guide is the document in which the URV publishes the information about all its courses. It is a public document and cannot be modified. Only in exceptional cases can it be revised by the competent agent or duly revised so that it is in line with current legislation.