Data Warehouse

¿Qué pasa cuando hemos identificado la necesidad de mejorar los sistemas que dan soporte a la toma de decisiones en nuestra organización? Rápidamente, nos hallamos en un contexto que si bien tiene puntos en común con nuestro modelo de negocio y nuestras aplicaciones transaccionales, nos deja descolocados. Más de la mitad de términos que se usan en las presentaciones de productos nos son desconocidos.

Así que de nuevo nos situamos desde el marco de establecer significados etimológicos. Recordemos que dimos ya las definiciones de Inmon y Kimball. Para empezar es necesario tener claro que significan los términos Data Warehousing, Data Warehouse y Data Mart que participan en las fases iniciales de implantación de una herramienta Business Intelligence.

Definición de Data Warehousing

Entendemos por Data Warehousing el proceso de extraer y filtrar datos de las operaciones comunes de la organización, procedentes de los distintos sistemas de información operacionales y/o sistemas externos, para transformarlos, integrarlos y almacenarlos en un depósito o almacén de datos (Data Warehouse, en inglés) con el fin de acceder a ellos para dar soporte en el proceso de toma de decisiones de una organización. Es decir, la finalidad es convertir los datos operacionales en información relacionada y estructurada, homogénea y de mayor calidad, identificada convenientemente y que se mantenga en el tiempo, es decir, los datos más recientes no sustituyen a los precedentes, pero tampoco se acumulan de cualquier manera, sino que se suelen mantener con un mayor nivel de detalle los datos actuales, y de manera más agregada los datos anteriores. Se pretende crear un círculo virtuoso para la información.

Definición de Data Warehouse

Es un repositorio de datos de muy fácil acceso, alimentado de numerosas fuentes, transformadas en grupos de información sobre temas específicos de negocios, para permitir nuevas consultas, análisis, reporteado y decisiones.

¿Qué es lo que le preocupa a los ejecutivos?

Se tienen montañas de datos en la compañía, pero no podemos llegar a ellos adecuadamente. Nada enloquece más a los ejecutivos que dos personas presentando el mismo resultado de operación pero con diferentes números y los ejecutivos lo que buscan es ver la información pero desde diferentes ángulos, mostrando únicamente lo que es importante para tomar una decisión en la empresa, finalmente los ejecutivos saben que hay datos que nunca serán confiables, por lo que prefieren que se eviten en los reportes ejecutivos.

Uno de los valores más importantes de una organización es la información.

Estos valores normalmente son guardados por la organización de dos formas:

•              Los sistemas operacionales de registros

•              Y el Data Warehouse

Crudamente hablando, el sistema operacional de registros es donde los datos son depositados y el Data WareHouse es de donde se extraen eso datos.

Los objetivos fundamentales de un Data WareHouse son:

•              Hace que la información de la organización sea accesible: los contenidos del Data WareHouse son entendibles y navegables, y el acceso a ellos son caracterizado por el rápido desempeño. Estos requerimientos no tienen fronteras y tampoco limites fijos. Cuando hablamos de entendible significa, que los niveles de la información sean correctos y obvios. Y Navegables significa el reconocer el destino en la pantalla y llegar a donde queramos con solo un clic. Rápido desempeño significa, cero tiempos de espera. Todo lo demás es un compromiso y por consiguiente algo que queremos mejorar.

•              Hacer que la información de la organización sea consistente: la información de una parte de la organización puede hacerse coincidir con la información de la otra parte de la organización. Si dos medidas de la organización tienen el mismo nombre, entonces deben significar la misma cosa. Y a la inversa, si dos medidas no significan la misma cosa, entonces son etiquetados diferentes. Información consistente significa, información de alta calidad. Significa que toda la información es contabilizada y completada. Todo lo demás es un compromiso y por consiguiente algo que queremos mejorar.

•              Es información adaptable y elástica: el Data WareHouse esta diseñado para cambios continuos. Cuando se le hacen nuevas preguntas al Data WareHouse, los datos existentes y las tecnologías no cambian ni se corrompen. Cuando se agregan datos nuevos al Data WareHouse, los datos existentes y las tecnologías tampoco cambian ni se corrompen. El diseño de Data Marts separados que hacen al Data WareHouse, deben ser distribuidos e incrementados. Todo lo demás es un compromiso y por consiguiente algo que queremos mejorar.

•              Es un seguro baluarte que protege los valores de la información: el Data WareHouse no solamente controla el acceso efectivo a los datos, si no que da a los dueños de la información gran visibilidad en el uso y abusos de los datos, aún después de haber dejado el Data WareHouse. Todo lo demás es un compromiso y por consiguiente algo que queremos mejorar.

•              Es la fundación de la toma de decisiones: el Data WareHouse tiene los datos correctos para soportar la toma de decisiones. Solo hay una salida verdadera del Data WareHouse: las decisiones que son hechas después de que el Data WareHouse haya presentado las evidencias. La original etiqueta que preside el Data WareHouse sigue siendo la mejor descripción de lo que queremos construir: un sistema de soporte a las decisiones.

Los elementos básicos de un Data WareHouse

•              Sistema fuente: sistemas operacionales de registros donde sus funciones son capturar las transacciones del negocio. A los sistemas fuentes también se le conoce como Legacy System.

•              Área de tráfico de datos: es un área de almacenamiento y grupo de procesos, que limpian transforman, combinan, remover los duplicados, guardan, archivan y preparan los datos fuente para ser usados en el Data WareHouse.

•              Servidor de presentación: la maquina física objetivo en donde los datos del Data WareHouse son organizados y almacenados para queries directos por los usuarios finales, reportes y otras aplicaciones.

•              Modelo dimensional: una disciplina específica para el modelado de datos que es una alternativa para los modelos de entidad – relación.

•              Procesos de negocios: un coherente grupo de actividades de negocio que hacen sentido a los usuarios del negocio del Data WareHouse.

•              Data Mart: un subgrupo lógico del Data WareHouse completo.

•              Data WareHouse: búsquedas fuentes de datos de la empresa. Y es la unión de todos los data marts que la constituyen.

•              Almacenamiento operacional de datos: es el punto de integración por los sistemas operacionales. Es el acceso al soporte de decisiones por los ejecutivos.

•              OLAP: actividad general de búsquedas para presentación de texto y números del Data WareHouse, también un estilo dimensional especifico de búsquedas y presentación de información y que es ejemplificada por vendedores de OLAP.

•              ROLAP: un grupo de interfases de usuarios y aplicaciones que le dan a la base de datos relacional un estilo dimensional.

•              MOLAP: un grupo de interfases de usuarios, aplicaciones y propietarios de tecnología de bases de datos que tienen un fuerte estilo dimensional.

•              Aplicaciones para usuarios finales: una colección de herramientas que hacen los queries, analizan y presentan la información objetivo para el soporte de las necesidades del negocio.

•              Herramientas de acceso a datos por usuarios finales: un cliente de Data WareHouse.

•              Ad Hoc Query Tool: un tipo específico de herramientas de acceso a datos por usuarios finales que invita al usuario a formas sus propios queries manipulando directamente las tablas relacionales y sus uniones.

•              Modelado de aplicaciones: un sofisticado tipo de cliente de Data WareHouse con capacidades analíticas que transforma o digiere las salidas del Data WareHouse.

Meta Data: toda la información en el ambiente del Data WareHouse que no son así mismo los datos actuales.

  

Un Data WareHouse proporciona una visión global, común e integrada de los datos de la organización, independiente de cómo se vayan a utilizar posteriormente por los consumidores o usuarios, con las propiedades siguientes: estable, coherente, fiable y con información histórica. Al abarcar un ámbito global de la organización y con un amplio alcance histórico, el volumen de datos puede ser muy grande (centenas de terabytes). Las bases de datos relacionales son el soporte técnico más comúnmente usado para almacenar las estructuras de estos datos y sus grandes volúmenes. Normalmente en el almacén de datos habrá que guardar información histórica que cubra un amplio período de tiempo. Pero hay ocasiones en las que no se necesita la historia de los datos, sino sólo sus últimos valores, siendo además admisible generalmente un pequeño desfase o retraso sobre los datos operacionales. En estos casos el almacén se llama almacén operacional (ODS, Operational Data Store).

 Definición de Data Mart

Podemos entender un Data Mart como un subconjunto de los datos del Data Warehouse con el objetivo de responder a un determinado análisis, función o necesidad y con una población de usuarios específica. Al igual que en un data warehouse, los datos están estructurados en modelos de estrella o copo de nieve y un data mart puede ser dependiente o independiente de un data warehouse. Por ejemplo, un posible usos sería para el data mining.

¿Qué diferencia existe entonces entre un data mart y un data warehouse? Su alcance. El data mart está pensado para cubrir las necesidades de un grupo de trabajo o de un determinado departamento dentro de la organización. Es el almacén natural para los datos departamentales. En cambio, el ámbito del data warehouse es la organización en su conjunto. Es el almacén natural para los datos corporativos comunes.

Conclusiones

Como conclusión, podemos afirmar que el Data Warehouse es un sistema totalmente distinto al tradicional, por lo que el tipo de almacenamiento también será completamente diferente al primero. En los sistemas tradicionales, además, predomina una visión actual, prevalece la actualización y tiene una estructura relacional. Por el contrario, con el Data Warehouse, podemos encontrar una visión histórica, predomina la consulta y tiene una estructura multidimensional.

A pesar de todo lo descrito, no debemos interpretar este nuevo sistema de almacenamiento como el sustituto de los entornos operacionales. El Data Warehouse debe ser utilizado como un complemento a ellos (como ya afirmaba la definción de Inmon), con una creación relativamente actual y que ofrece una visión distinta de los datos de interés.

POSIBLES AMENAZAS DE UN NEGOCIO ELECTRONICO EN INTERNET

Amenazas al Comercio Electrónico

Se entiende por amenaza a una acción o condición del entorno de redes (persona, máquina, suceso o idea) que, dada una oportunidad, podría dar lugar a que se produjese una violación en la seguridad (confidencialidad, integridad, disponibilidad o uso legitimo).

Las amenazas a la seguridad de los sistemas de comercio electrónico pueden ser clasificadas como internas y externas. La amenaza interna es la que tiene más probabilidad de ocurrir, es la más difícil de combatir o controlar y sin embargo es la que más se pasa por alto.  Este tipo de amenazas es difícil de combatir ya que muy pocos sistemas brindan protección contra acciones maliciosas ejecutadas por usuarios que estén autorizados en el sistema. Es por esto que la mejor manera de combatir esta amenaza es con una combinación de políticas de seguridad estrictas y un esquema de acceso a información privilegiada que solo le permita el acceso a aquellas personas que deban tenerlo. 

Sin embargo, las amenazas a la seguridad a las que más se les da importancia es a las externas. Tanto los ejecutivos de las compañías como los administradores de los sistemas sienten un temor especial a los intrusos desconocidos que estando fuera de las barreras de la organización puedan tener acceso a información privilegiada. Parte de esta preocupación está bien fundada, ya que la Internet le da a los comerciantes la posibilidad de llegar a los consumidores potenciales en cualquier parte del mundo, pero al mismo tiempo permite que todos los usuarios mal intencionados, hackers y espías corporativos en todo el mundo puedan tener acceso a la información de la compañía. 

Las categorías generales de amenazas o ataques al comercio electrónico son las siguientes: 

                                               

  Vandalismo y sabotaje en Internet

El vandalismo o sabotaje en el web es tal vez el ataque que ha recibido más atención de los medios de comunicación. Este ataque consiste en rescribir la página web de alguien más, generalmente de forma ilegal, para cambiar el contenido de esa página dejando un mensaje propio del saboteador. Este ataque generalmente está motivado por razones políticas o por el ego del saboteador que muestra que pudo romper las medidas de seguridad de un sitio web. 

Aunque este ataque está dirigido al servidor web, el resto de los programas o información contenidas en la máquina que fue blanco del ataque también pueden estar comprometidas, como también otros recursos de red que estuvieran conectados a esa máquina, ya que el atacante pudo tener acceso a ellas tan fácilmente como lo hizo con los archivos de las páginas web. 

Este tipo de ataques es muy perjudicial para la imagen de la compañía que sufre el ataque. La página web es la imagen de la compañía ante el mundo, y si esta es saboteada, la organización completa se verá vulnerable. 

Violación a la seguridad o privacidad

En la Internet, los mensajes son transmitidos a través de un número de intermediarios antes de llegar a su destino, los intermediarios son generalmente Routers, cualquiera de los cuales puede copiar, modificar o borrar los mensajes. Es por esta razón que no se debe asumir que las comunicaciones de datos son privadas a menos que se utilice un mecanismo de encripción para protegerlas. El mayor temor de los consumidores en la Internet es el de revelar sus números de tarjetas de crédito, actualmente se han desarrollado un número de sistemas de transacciones de pago seguras para proteger la privacidad de las transacciones. 

El “romper” las claves de los sistemas de encripción actuales es muy difícil, por lo que es poco probable que se pueda comprometer la seguridad de las transacciones que utilizan estos sistemas. Sin embargo, los componentes web activos pueden presentar riesgos a la seguridad en el client-side. Los componentes activos son programas que se descargan y ejecutan automáticamente desde el navegador web cuando un usuario entra en un sitio web que los tiene como parte de su código. Ejemplo de estos componentes son los controles ActiveX, Applets de Java, JavaScripts, VBScripts y ciertos archivos multimedia que se ejecutan vía plug-ins. Los plug-ins son aplicaciones que se ejecutan automáticamente cuando el navegador descarga archivos de un determinado formato. 

Robo y fraude en Internet

El robo y fraude en la Internet tienen lugar cuando las personas son engañadas para que confíen en sitios web (y sus operadores), con los que no han tenido relaciones previas. La mayoría de los fraudes son resultado de realizar transacciones comerciales con sitios web establecidos por criminales que se hacen pasar por sitios que llevan a cabo negocios legítimos, cuando en realidad son una fachada para actividades criminales. Los consumidores son engañados para entregar sus números de tarjetas de crédito para pagar por productos o servicios que nunca son entregados. 

Violación a la integridad de los datos

Los ataques a la integridad de los datos casi no se discuten en el contexto de sesiones de Internet, sin embargo, son un problema en las transacciones de comercio electrónico. Las fallas en la integridad de los datos que se envían a través de las redes son casi siempre accidentales, pero existe la posibilidad de que los datos sean alterados intencionalmente para hacer algún daño. Un ataque que modifique datos, como por ejemplo precio de las acciones de la bolsa de valores puede tener gran impacto. 

Existen mecanismos para detectar si los datos han sido modificados, pero al igual que con los métodos de encripción, no se han implantado tan ampliamente como deberían. 

Negación de servicio

Los ataques de negación de servicio han sido denominados como las peores amenazas a la seguridad en Internet. Un ataque de negación de servicio tiene como objetivo hacer que cierto servicio no esté disponible para el publico. El potencial que tiene este tipo de ataques para causar daños o perdidas aumenta cada día, mientras se automatizan más servicios y se conducen cada vez más negocios de manera electrónica. 

El defenderse de este tipo de ataques es particularmente difícil, porque para realizar este tipo de ataques los atacantes se apoyan en debilidades estructurales de los protocolos de comunicación más utilizados, como el Internet Protocol (IP). 

Componentes de la Seguridad del Comercio Electrónico

El modelo de seguridad en el comercio electrónico se puede dividir en cuatro componentes principales que hay que proteger; el software del client-side, el transporte de los datos, el software del servidor Web y el sistema operativo del servidor. Es importante hacer un esfuerzo para que la seguridad de estos componentes sea consistente, ya que si uno de ellos presentara una debilidad obvia, sería blanco de la mayoría de los ataques, y debido a su debilidad muchos de esos ataques serían exitosos.

Seguridad del software cliente

La seguridad del software cliente se refiere a la seguridad que presenta el software cliente de web, es decir, el software que se utiliza para navegar en Internet. Los dos grandes riesgos de este componente son las vulnerabilidades de los navegadores y los componentes Web activos. 

Los navegadores presentan riesgos debido a que su código fuente no está disponible para revisión y los usuarios deben confiar en que el navegador no sea vulnerable a ataques, no habrá hoyos en la seguridad ni ejecute código malicioso en segundo plano. 

El contenido web activo presenta el riesgo de que ejecute código malicioso en segundo plano sin que el usuario se entere. El contenido web activo es cada vez más común y puede presentarse en forma de Applets de Java, controles ActiveX, macros de Word, JavaScript, VBScript, y al descargar o ver archivos de formato Postscript, GIF o JPEG. 

Seguridad en el transporte de los datos

El transporte de los datos a través de las redes es el aspecto del comercio electrónico que ha recibido la mayor concentración de recursos para asegurar su seguridad. El brindar seguridad a los datos en transito implica garantizar la integridad y confidencialidad de los datos, y la autenticidad tanto del emisor como del receptor. La integridad de los datos se refiere a asegurar que los datos no son modificados mientras son transportados a través de la Internet, La confidencialidad se refiere a que los datos no puedan ser leídos por una entidad diferente al receptor y la autenticidad de el emisor y receptor se refiere a garantizar que las partes involucradas en la transmisión sean quienes dicen ser, es decir, que no sean suplantados por terceros. 

La necesidad de desarrollar mecanismos de seguridad para el transporte de los datos surge de la naturaleza insegura de la Internet ya que la información en transito se puede leer, copiar, modificar o eliminar mientras se transmite por las diferentes redes. Para brindar la seguridad necesaria en el transporte de los datos se han desarrollado diferentes mecanismos como la encripción de datos, las firmas digitales y los certificados de autenticidad, también se han desarrollado protocolos de comunicación seguros como el SSL (Secure Socket Layer, que es el estándar de facto para la transmisión segura de datos a través de la Internet) o el S-HTTP y protocolos para garantizar la seguridad de las transacciones de pago electrónico como el SET (Secure Electronic Transaction). 

Seguridad del servidor Web

Los servidores web se componen de tres elementos básicos: el software servidor que se encarga de responder a todas las peticiones de información provenientes de los navegadores, bases de datos donde están almacenados los datos acerca de los productos, servicios o información acerca de los usuarios, y los programas de interfaz entre el software servidor web y las bases de datos, esta interfaz puede hacerse a través de CGI (Common Gateway Interface) que son programas invocados por el servidor web para extraer la información de las bases de datos o a través de ASP o JSP que son programas incluidos en el código HTML y que son ejecutados por módulos del mismo servidor web. Las fallas de seguridad en el server-side se presentan generalmente en el software servidor y en los programas de interfaz con las bases de datos. 

Es importante hacer notar que mientras más servicios preste el servidor mayor será la probabilidad de que brinde oportunidades que los atacantes puedan aprovechar. Por eso es necesario escoger entre un servidor con una amplia gama de servicios y que sea inseguro, o un servidor extremadamente seguro pero que no preste muchos servicios. Además de las brechas de seguridad que presentan algunos de los servicios , los programas también tienen fallas en la seguridad que son producto de errores de programación. Este tipo de errores hace que los programas se comporten de manera anormal y son bien conocidos y aprovechados por los atacantes. La única manera de corregir este tipo de problemas es conseguir las actualizaciones de software que corrigen esos errores o conseguir versiones actualizadas del software que no presenten el error. 

El software del servidor generalmente lo instala el “súper usuario” o “root”, que tiene todos los derechos y puede acceder a cualquier archivo del sistema. Como los programas del servidor son propiedad del “super usuario” estos se ejecutan con sus privilegios. Esto es necesario debido a que solo los programas con este nivel de privilegio pueden abrir el puerto 80 (http) o el puerto 443 (SSL) y escribir en los archivos de log. Sin embargo, es recomendable configurar el software servidor para reducir sus privilegios de ejecución. 

Cuando hay una conexión entrante al puerto 80, se crea un proceso hijo para manejar la solicitud y el proceso servidor (proceso padre) regresa al modo de escucha de peticiones [PALA00]. Se puede configurar el servidor de manera que los procesos hijos se ejecuten sin privilegios especiales al procesar las peticiones remotas. Si no se configura el software servidor de esta manera se puede presentar el problema de “escalamiento de privilegios”. El escalamiento de privilegios ocurre cuando un usuario o entidad no autorizados o no confiable obtiene privilegios de acceso, creación, modificación o eliminación de archivos más elevados de los que tendría normalmente. El peligro de este problema está en que si un atacante logra explotar una vulnerabilidad del servidor o algún script CGI, podría ejecutar comandos en el servidor con privilegios de super usuario. Esto significa que el atacante podría tener acceso privilegiado a cualquier archivo en esa máquina y en las máquinas del mismo dominio de confianza, incluyendo las bases de datos de la compañía, o ejecutar programas maliciosos en esas maquinas. 

Además de las opciones de privilegios de ejecución existen otras opciones que tienen impacto en la seguridad de los servidores. Algunas de ellas son: 

- Listado automático de directorios 

Esta opción hace que si un navegador apunta a un directorio en el servidor donde no existe un archivo Index.htm, entonces la respuesta por defecto del servidor será un listado de los archivos de dicho directorio. El peligro está en que un atacante puede tener acceso a un directorio donde están los log o existan enlaces simbólicos o peor aun, los códigos fuente de los CGI o los archivos de configuración del servidor, los cuales pueden ser descargados y examinados minuciosamente para encontrar fallas que puedan ser explotadas. Para evitar este problema se debe deshabilitar esta característica del software, y de no ser posible, crear archivos Index.htm en todos los directorios del servidor web. 

- Server Side Include (SSIs) 

Esta característica permite incluir comandos en el código HTML de una página web. Cuando se recibe una petición para mostrar la página que tiene los comandos incluidos, estos son ejecutados por el servidor web con su privilegio de ejecución. El comando más peligroso es el “EXEC”, el cual permite ejecutar cualquier programa en el sistema. Esta opción debe ser deshabilitada para prevenir problemas de ejecución de programas maliciosos o escalamiento de privilegios. 

- Seguimiento de enlaces simbólicos 

Esta característica permite extender el árbol de directorios. Un enlace simbólico es una referencia a un archivo que se encuentra en otro directorio, cuando se accede al enlace simbólico es como si se accediera al archivo al cual hace referencia. Los enlaces simbólicos pueden apuntar a archivos fuera del árbol de directorios especificado para el servidor web. El peligro es que los enlaces simbólicos pueden apuntar a directorios sobre los cuales el administrador web no tenga control y que contengan archivos como scripts CGI maliciosos que puedan ser ejecutados vía web. Esta opción también debe ser deshabilitada. 

Los archivos que son parte del website solo deben ser accesibles a los administradores del sitio web o a usuarios autorizados para publicar información en el web y no deben poder ser accedidos vía web por usuarios internos o externos, esto para evitar que los atacantes tengan acceso a los archivos de configuración o log que pueden revelar información que los atacantes pueden utilizar contra el servidor. 

Si se presta el servicio de FTP, los directorios donde residen los archivos del sitio web y el directorio ftp deben estar separados para evitar que usuarios no autorizados o atacantes coloquen archivos en el servidor (páginas web o CGI) vía ftp y luego estos archivos sean mostrados o ejecutados por el servidor web. 

En las aplicaciones de venta de contenido es necesario poder controlar el acceso a los documentos que están a la venta. Esto permite dar acceso a los documentos a ciertos clientes y restringir el acceso a otros. Los tres tipos de mecanismos de control de acceso que están presentes en la mayoría de los servidores web son: 

- Restricciones por direcciones IP o nombre de host 

Es uno de los mecanismos de control de acceso más básicos. Consiste en restringir el acceso a las páginas web basándose en la dirección IP o nombre del host que hace la solicitud de información. Una solicitud web incluye el nombre del host y la dirección IP del cliente, el servidor web puede utilizar esta información para determinar si la solicitud proviene de un equipo autorizado a ver el contenido del documento. 

Para determinar si la solicitud proviene de una dirección autorizada el servidor web utiliza las Listas de Control de Acceso (ACLs). Las ACLs son una serie de reglas de acceso que se evalúan en secuencia para determinar si una solicitud proviene de una dirección autorizada. Se aconseja que los ACLs primero restrinjan el acceso a todos y luego se autorice a determinadas direcciones a acceder a la información. Esto es debido a que si existe algún error en el ACL esto resultará en inconveniencia para algunos usuarios y no en fallas a la seguridad. 

Este método de control de acceso no se considera especialmente seguro, puede mantener alejados a los usuarios curiosos pero no a los atacantes determinados. El problema de este método de control de acceso es que es vulnerable al “spoofing”. El spoofing se presenta cuando un atacante enmascara la dirección IP o nombre de host de su máquina para que aparezca como la de otra máquina en la cual se confía. Además, aunque la solicitud provenga realmente de una máquina autorizada, no se tiene la seguridad de que el usuario de esa máquina sea el usuario autorizado a ver la información que solicita. 

- Autenticación basada en contraseñas 

En este mecanismo el servidor web verifica la identidad del usuario basándose en un identificador de usuario y una contraseña. Para establecer el control de acceso utilizando este mecanismo el administrador del sistema debe crear una base de datos de usuarios autorizados, que contenga los identificadores de los usuarios y sus respectivas contraseñas (encriptadas). Luego el administrador debe declarar explícitamente que partes del sistema de archivos serán protegidos por este mecanismo. 

Cuando un usuario quiera acceder a un documento protegido el servidor le mostrará un cuadro de dialogo donde el usuario debe ingresar su identificador y contraseña. El identificador de usuario se compara con los que están almacenados en la base de datos y la contraseña se encripta y compara con la contraseña que acompaña al identificador en la base de datos, si existe una correspondencia se da acceso al documento. 

Este mecanismo presenta varios problemas de seguridad. Primero, como el identificador de usuario y la contraseña viajan a través de la red en “texto plano” cuando son enviados al servidor cualquier atacante con las herramientas adecuadas puede obtenerlos a través de la red. 

Otro problema es la escogencia de contraseñas por parte de los usuarios representa un problema. Los usuarios tienden a escoger como contraseñas su mismo identificador de usuario, su nombre o apellido, fecha de nacimiento u otro dato que es fácil de averiguar por parte de los atacantes. Además muchos sistemas no encriptan las contraseñas en la base de datos sino que las codifican, por esta razón si un atacante logra obtener el archivo de la base de datos podría recuperar todos los identificadores de usuario y sus respectivas contraseñas con una herramienta de fuerza bruta. Esto se conoce como autenticación débil. 

Para evitar molestias a los usuarios muchos servidores web no solicitan una re-autenticación del usuario durante la misma sesión web si este solicita documentos que estén en la misma “región de autenticación”. Una región de autenticación es un área del sistema de archivos protegida por el mismo ACL. Para evitar la re-autenticación el servidor envía al cliente un cookie y el cliente presenta este cookie cada vez que solicita información de la misma región de autenticación. El problema es que cada vez que el cliente envía el cookie al servidor este puede ser interceptado por un atacante y luego tener acceso a los archivos de esa región de autenticación. Para minimizar este problema se puede encriptar el cookie y vincularlo a la dirección IP del cliente al cual se le envió, así solo es valido si proviene de la dirección IP a la cual fue enviado. Sin embargo esto no evita el spoofing. 

- Autenticación basada en Certificados Digitales 

El control de acceso mediante certificados digitales se hace utilizando el protocolo SSL, el cual en su versión 3.0 soporta la autenticación tanto del servidor como del cliente de una sesión web. Para poder implantar este mecanismo es necesario que los clientes posean certificados digitales emitidos por alguna Autoridad Certificadora. Los cerificados digitales contienen los datos del cliente así como su clave pública para poder realizar la encripción asimétrica. 

Este mecanismo presenta un nivel de seguridad más alto que el que presentan los mecanismos explicados anteriormente. Además, este mecanismo se implementa de forma transparente al usuario porque el intercambio de la información de identificación lo realiza el software cliente al momento de establecer la comunicación con el servidor. 

Este mecanismo no sufre de los problemas de spoofing, de contraseñas débiles o de la captura de contraseñas cuando son transmitidas. El único problema es que se le impone al usuario la responsabilidad de conseguir un certificado personal emitido por una Autoridad Certificadora. Lo difícil es convencer al usuario a que se someta al proceso de obtención del certificado. 

Los scripts CGI también son de interés para la seguridad de los servidores web. Una de las preocupaciones con los scripts CGI es que estos pueden actuar maliciosamente en respuesta a peticiones web de posibles atacantes. Esto se debe a que los CGI se ejecutan en el servidor respondiendo a las entradas de usuarios en los cuales no se tiene confianza. Los riesgos que presentan los CGI incluyen la habilidad de que clientes web ejecuten comandos del sistema que realicen alguna de estas tareas: 

- Leer, remplazar, modificar o remover archivos. 

- Enviar archivos al atacante vía mail a través de Internet. 

- Ejecutar programas previamente cargados en el servidor, como colectores de contraseñas o un servidor para brindar acceso no autorizado vía telnet. 

- Lanzar un ataque de negación de servicio sobrecargando el CPU con trabajos de computo intensivo. 

Debido a que los CGI realizan muchas de las funciones de negocios de los sitios web dedicados al comercio electrónico es imposible eliminarlos para resolver los problemas de seguridad, pero se pueden seguir las siguientes recomendaciones para minimizar la posibilidad de que sean aprovechados por atacantes: 

- Analizar cuidadosamente los scripts antes de ponerlos en producción para asegurarse de que no contengan vulnerabilidades que sean aprovechadas por los atacantes. 

- Configurar el servidor web para reducir sus privilegios de ejecución. Debido a que los CGI son ejecutados por el servidor con su nivel de privilegios, el reducir los privilegios de ejecución del servidor minimiza el daño que pueda causar un CGI defectuoso. 

- Configurar el servidor para que solamente ejecute los CGI que se encuentren en un directorio especifico. Todos los CGI que sean aprobados para estar en el ambiente de producción deben estar en ese directorio, este directorio generalmente se llama CGI-bin. 

- Se deben establecer restricciones de acceso al directorio donde residen los códigos fuente de los scripts CGI, generalmente es el directorio CGI-src. Si un atacante tiene acceso a los códigos fuente de los CGI los puede examinar para determinar las fallas que puedan tener. 

- Se deben realizar revisiones periódicas para determinar el origen, propósito y modificaciones hechas a cada CGI en el sistema. Los CGI que no tengan ninguna función en el sistema o cuyo origen no sea confiable deben removidos del sistema, así como su código fuente y versiones de respaldo. 

- Se puede generar periódicamente un hash del contenido del directorio CGI-bin para comprobar que los scripts que están en ese directorio no sean modificados sin autorización. 

- No incluir interpretadores de comandos (shell interpreters) en el directorio CGI-bin debido a que si un atacante logra descubrir que los interpretadores están disponibles, puede utilizarlos para ejecutar comandos arbitrarios en el servidor vía peticiones web que contengan los comandos. 

El último componente de los servidores de comercio electrónico son las bases de datos. Las bases de datos son esénciales para todas las aplicaciones de comercio electrónico y autenticación de usuarios. En las bases de datos está la información de mayor importancia para la organización. Por esta razón el acceso a las bases de datos debe estar controlado cuidadosamente. Debido a la importancia de las bases de datos para las aplicaciones de comercio electrónico, la mayoría de los fabricantes de paquetes de bases de datos han desarrollado interfaces entre estas y los servidores web. Estos interfaces han sido probados para asegurar que no contengan vulnerabilidades que puedan ser aprovechadas. Lo que se debe controlar es el acceso que tengan los usuarios a las interfaces de las bases de datos. 

Existen dos tipos de interfaces a las bases de datos: a través de los programas o aplicaciones de bases de datos y a través de las interfaces web. El uso de los programas de bases de datos debe estar restringido a los usuarios internos autorizados para operar las bases de datos, esto para evitar el abuso interno de la información contenida en las bases de datos y se deben emplear mecanismos de identificación de usuarios a nivel de las bases de datos. Para los interfaces web se puede restringir el acceso a la base de datos con los mismos mecanismos utilizados por el servidor web para controlar el acceso a las páginas web combinado con los mecanismos de identificación de usuario a nivel de la base de datos. También es posible encriptar la información cuando se transfiere entre la base de datos y el servidor web y entre el servidor web y el cliente o se puede mantener la información encriptada dentro de la base de datos para evitar que los datos sean recuperados aun si la base de datos cae en manos de algún atacante. 

La falta de recursos dedicados al desarrollo de mecanismos de seguridad para el server-side se debe en parte a la sobre valuación de los mecanismos de seguridad como la encripción de datos y los firewalls. La encriptación de datos es buena para proteger los datos en transito, pero cuando los datos se almacenan, generalmente se hace en “texto plano” y es allí donde los atacantes pueden obtenerlos. Por otra parte, los firewalls brindan protección solo contra atacantes “aficionados”, un atacante determinado puede violar la protección que brindan los firewalls aunque estén bien configurados. Las estadísticas muestran que el 75% de los firewalls pueden ser violados. 

Seguridad en el sistema operativo 

El sistema operativo constituye la base sobre la cual se construyen las aplicaciones de comercio electrónico. Si existen vulnerabilidades en el sistema operativo, entonces los datos almacenados en el servidor están expuestos a un ataque, sin importar los mecanismos de seguridad que presenten las aplicaciones o los protocolos de transporte de datos utilizados en las transacciones de comercio electrónico. 

Las fallas en la seguridad de los sistemas operativos generalmente son bien conocidas y se pueden solucionar cambiando parámetros de configuración de los mismos para evitar las opciones por defectos de las que se aprovechan la mayoría de los ataques a los sistemas operativos. 

La mayoría de las vulnerabilidades de los sistemas operativos se pueden agrupar en cinco categorías, la idea de agruparlos es tener un marco de referencia para comparar la severidad de las vulnerabilidades. Las categorías son: 

- Opciones por defecto: 

- Vulnerabilidades en el software de red. 

- Ataques de negación de servicio. 

- Autenticación débil. 

- Hoyos en el sistema operativo. 

- Opciones por defecto 

Las opciones por defecto se refieren a las opciones de configuración del software que ha sido recién instalado. La mayoría del software viene configurado para maximizar la facilidad de uso, a veces a costa de la seguridad. 

En esta categoría están incluidas las cuentas de usuario que son creadas automáticamente cuando se instala el sistema operativo. El problema con esas cuentas es que muchas veces tienen un identificador bien conocido como “guest” y no requieren contraseña, haciendo fácil la tarea de entrar en el sistema sin autorización. Además pueden dar acceso a partes vitales del sistema operativo si no se tienen configuradas las restricciones de acceso necesarias. 

- Vulnerabilidades en el software de red 

El software de red da soporte a los sistemas de archivos compartidos, login remoto, comunicación entre procesos y toda clase de servicios de Internet. Algunos de estos programas están tan integrados con el sistema operativo que se les conoce como sistema operativo de red (NOS por sus siglas en ingles). 

La mayoría de los problemas de seguridad en esta categoría provienen de los mecanismos de autenticación utilizados para iniciar las sesiones de red y compartir recursos entre diferentes equipos conectados a través de la red. Los ataques explotan las vulnerabilidades de los mecanismos de autenticación para obtener acceso no autorizado a los recursos de un equipo o grupo de equipos. 

- Ataques de negación de servicio 

Los ataques de negación de servicio intentan hacer que un servidor web deje de funcionar o pierda acceso a la Internet. Los ataques de negación de servicio pueden variar en su extensión, desde hacer que deje de funcionar una sola computadora hasta un sitio completo. Este tipo de ataque se presenta en dos formas diferentes. La primera evita que los usuarios tengan acceso a los servicios ofrecidos por un servidor. La segunda consume los recursos de un equipo o hace que su sistema colapse. 

Las debilidades que este tipo de ataque explota son fallas en las aplicaciones, fallas en el software de red y hasta fallas en los protocolos de red utilizados en la Internet. Las fallas en las aplicaciones y software de red pueden resolverse con facilidad instalando correcciones, pero los ataques que se aprovechan de los protocolos de red son muy difíciles de evitar ya que explotan características propias de esos protocolos que no pueden ser cambiadas o eliminadas. Otra característica que hace a estos ataques peligrosos es que son relativamente fáciles de realizar y las herramientas para llevarlos a cabo están disponibles en Internet. 

- Autenticación débil 

La autenticación es utilizada para verificar si un usuario tiene permitido el acceso a los recursos de un sistema. Los sistemas de autenticación no son una medida de seguridad especialmente fuerte debido a que pueden ser engañados con facilidad. El principal problema es la escogencia de las contraseñas por los usuarios, que llevan al problema de autenticación débil. 

- Hoyos en el sistema operativo 

Hay un gran número de programas conocidos como software del sistema, que brinda servicios al sistema operativo. Debido a que el software del sistema realiza una serie de funciones para brindar servicios al sistema operativo, este software generalmente necesita privilegios especiales como acceso de súper usuario. Las vulnerabilidades del software de sistema pueden ser aprovechadas por los usuarios no autorizados para escalar privilegios. A diferencia de las otras categorías de vulnerabilidades del sistema operativo, este tipo de software puede protegerse de los usuarios externos mediante el uso de firewalls. 

Mecanismos de seguridad

Para asegurar las transacciones de comercio electrónico es necesario que se cumplan los siguientes requerimientos básicos: 

- Privacidad. Es la habilidad de controlar quien puede (o no puede) ver la información. Las transacciones deben permanecer privadas e inviolables en el sentido de que entidades no autorizadas no puedan descifrar el contenido de los mensajes. 

- Integridad. Es la seguridad de que los datos almacenados o transmitidos no son alterados. Se debe asegurar que las transmisiones no son alteradas o interferidas. 

- Autenticidad. Es la habilidad de determinar la identidad de las partes que se comunican.

- No repudiación. No debe ser posible que un emisor de un mensaje pueda alegar que no envió una comunicación segura o que no realizo una compra. 

Para cumplir con estos requerimientos se han desarrollado mecanismos o combinaciones de mecanismos que permiten asegurar las transacciones. Estos mecanismos se describen a continuación: 

Encripción

Garantiza que la información no es inteligible para individuos, entidades o procesos no autorizados (privacidad). La encripción es la mutación de la información a una forma solo entendible con una clave de decripción. Una clave o llave es un número muy grande, en forma de una cadena de unos y ceros. 

Existen dos tipos de encripción, la encripción de “llave privada” o “llave simétrica” y la encripción de “llave pública” o “llaves asimétricas”. 

Conclusión

Tenemos grandes ventajas al iniciar un comercio haciendo uso del Internet, sin embargo también existen grandes riesgos que pueden afectarnos y a nuestros clientes puesto que mucas veces guardamos información importante de los mismos, pero también existen métodos para evitar este tipo de peligros que permiten mantener nuestra información y la de nuestros clientes a salvo.

Call Center, Web Center y Contact Center

CALL CENTER

El servicio de call centers es uno de los más populares hoy en día, sobre todo para los negocios que pueden aprovechar un servicio de atención de sus llamadas con personal especializado al efecto y por un costo en el que no deberá de preocuparse de reclutar ni sustituir personal como tampoco la administración del mismo. Y aunque algunas empresas manejan sus propios centros de call center, cierto es que con mucha oferta hoy en día se puede aprovechar los mejores precios y un servicio que se hace imperativo en plena globalización.

VENTAJAS:

Entre las ventajas de los call center se encuentra el servicio rápido y personalizado al cliente con menor tiempo de espera, hay un entrenamiento básico que permite darle fluidez a las tareas para las que se considera el call center como serían recepción de pedidos, cobranzas o promoción de productos. Además se lleva un control  más preciso de las llamadas que se realizan y las que se reciben por parte de clientes, y con base en ello se puede medir la efectividad del servicio de call center y tomar las medidas a efecto de establecer políticas de ventas, recuperación de cuentas. Además se cuenta con personal capacitado que puede manejar atención internacional con unas pocas instrucciones, y se puede esperar que por el costo se obtenga un mejor servicio y un mayor beneficio para la empresa. Además existiendo mucha oferta de servicio de call center hoy en día, se hace fácil encontrar la que mejor satisfaga nuestras necesidades de comunicación.

DESVENTAJAS:

Entre las desventajas de los call center, es que el costo del recurso humano es más alto, porque se debe en algunos casos, encontrar con mucho esfuerzo el personal ideal si se quiere un servicio de calidad. Los horarios aunque flexibles suelen ser demasiado prolongados, lo que va en contra del reclutamiento de personas, y la exigencia es cada día mayor por lo que no abundan muchas opciones. Se requiere personal orientado al servicio al cliente, que sepa trabajar bajo presión, que tenga un alto nivel de motivación, y que maneje al menos un idioma adicional, preferentemente el inglés.

WEB CENTER

Para las empresas en concreto es muy importante conocer datos de la calidad y la cantidad de llamadas efectuadas o atendidas, en esta información se valoran datos de las llamadas y de los agentes y  el WEB CENTER Es un conjunto integrado de productos utilizado para crear aplicaciones sociales, portales empresariales, comunidades de colaboración, aplicaciones compuestas y sitios Web de Internet o Intranet sobre una arquitectura orientada a servicios lo cual nos brindan  capacidades de contenido, colaboración, presencia y redes sociales para crear una experiencia del usuario altamente interactiva. Y así llegar más fácilmente al cliente e interactuar y estar en contacto  en los sitios más frecuentes de los mismos.

Completo conjunto de funciones para crear cualquier tipo de portal, aplicaciones sociales o compuestas, sitios de Intranet, Extranet, o de Internet,Integrado con aplicaciones, bases de datos ,y conexión directa con los entornos heterogéneos existentes. Es lo mejor en gestión de contenidos empresariales, búsquedas, presencia y gestión de procesos de negocio Portales, intranet, Aplicaciones extranet, internet Aplicaciones sociales compuestas

·         Permite maximizar la eficacia de desarrollo Funciones clave

·         Permite crear cualquier tipo de portal o aplicación a partir de una única plataforma

·         Permite integrar aplicaciones empresariales a modo de portlets

·         Permite integrar contenidos con flujos de transacciones

·         Permite integrar procesos de negocio BPEL

·         Se basa en estándares del sector para portlets, contenidos, procesos, metadatos, servlet SIP, seguridad y servicios web ventajas.

·         Permite mejorar la productividad informática mediante componentes reutilizables y basados en estándares

    Aplicaciones fáciles de cambiar mediante la personalización exclusiva en tiempo de ejecución

VENTAJAS:

·         Extrapolación y sindicación absoluta. El hecho de que todas las aplicaciones se realicen sobre Web, va a permitir que entre ellas se pueda compartir toda la información (principalmente gracias a XML). Esto nos va a permitir:

·         Propagación inmediata de contenido e información (RSS) que va a permitir un mejor desarrollo de la estructura en red.

·         Uso de otras fuentes para desarrollar nuevas aplicaciones. Esta cuestión va a permitir que el desarrollo de nuevas aplicaciones se centren en la aportación de valor añadido, centrando los recursos en lo nuevo, y sacando partido de lo hecho por otros.

·         Aplicaciones (software) como servicio y no como producto.

·         Esto elimina el coste de acceso de las pymes a la tecnología más moderna, anulando las barreras de entrada a competir en los mercados por esa vía.

·         El pago se hace por servicio, lo que en pequeñas empresas es una muy pequeña cantidad en relación al coste de la plataforma que obtiene y fuera de su alcance a través de inversiones que las sacarían del mercado.

·         Es un servicio externalizado, sin barreras de salida para el cambio, lo que permite una mayor dinamica al no estar apalancada negativamente por las inversiones (lo que obliga a las empresas ASP a innovar continuamente y ofrecer servicios de valor añadido constantemente).

·         Las innovaciones son constantes (entre otras cuestiones porque la estrategia de supervivencia de las ASP radica en ello), sin necesidad de actualizaciones ni cambios.

·         Ubicuidad. La Web ya se ha consagrado como el canal de interoperabilidad por excelencia. Es decir, las aplicaciones basadas en Web pueden desarrollarse en cualquier terminal (y no necesariamente en los PC): ordenadores, móviles, PDAs, TV digital,…Esto va a permitir tener la información en todo momento y desde cualquier terminal con conexión a Internet.

·         Cooperación. Las necesidades de la sociedad y empresa red radican principalmente en la cooperación entre los diferentes actores. Estos sistema permiten anular prácticamente los costes para ello (incluído los costes de relaciones sociales), llegando incluso a la cooperación entre actores que no mantienen relación. La estructura del sistema coordinará la relación.

DESVENTAJAS:

·         La seguridad de datos confidenciales, como la contabilidad, facturación,…Este es uno de los aspectos que más se debaten, al estar almacenados en servidores ajenos. Centrándonos en las necesidades de las pymes es probable que los datos estén en mejor recaudo de servidores de empresas dedicadas a ello que en ordenadores que normalmente son mucho más vulnerables a ataques de virus, troyanos, espías,…No obstante, como ocurrió con el tema del pago con tarjeta, es un problema que se debe solventar con buenas prácticas y concienciación por parte de las empresas.

·         La conexión a Internet. La dependencia del sistema a la conexión de Internet sigue siendo una barrera a su adopción. Si bien las empresas de telecomunicaciones cada vez son más fiables y mantienen mejores conexiones, siempre existe la posibilidad de quedarse sin conexión en la mitad de una jornada laboral, lo que impediría el uso del sistema. No obstante, este problema debe convertirse tan residual como la caída de la energía eléctrica, que si bien ocurre, no es causa suficiente como para no operar en base a ella.

CONTACT CENTER

Un Contact Center es un Punto de Contacto que construye y conduce relaciones con los clientes y consumidores de su Empresa. Este contacto se desarrolla principalmente a través del Teléfono -Call Center-, así como en Internet, e-mail, Fax, entre otros.

Los Contact Center, le ofrecen alternativas que optimizan el contacto con sus clientes mediante la integración de tecnologías avanzadas, incrementando su prodcutividad y eficiencia y por ende haciendo crecer su negocio.

Los contact centerse están integrando a los procesos internos de las compañías como un aliado estratégico para interactuar con los clientes y mejorar las ventas de las empresas.

¿Qué puede hacer un Contact Center en su empresa?

Alcanzar sus clientes: Un Contact Center entrega un servicio al cliente de primera clase a través de respuestas oportunas y un manejo profesional de las llamadas.

Reducir Costos: Al usar los recursos de manera más eficiente, un Contact Center asegura una óptima utilización de la infraestructura y un control de gastos mucho más atractivo.

Generar Ingresos: Al procesar las llamadas con altos niveles de servicio, un Contact Center le ayudará a dirigir nuevas ganancias en su negocio, así como desarrollar un canal más de venta.