Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Seguridad Informatica
Seguridad Informatica
Introduccin.
Obstculos para implementar
Seguridad Informtica
Administracin de la Seguridad
Informtica
Ciclo de vida de la Seguridad
Informtica
Conclusiones
Introduccin
La Informacin es un activo que como
cualquier otro activo importante del
negocio, tiene valor para la organizacin,
consecuentemente necesita Proteccin
Adecuada.
Introduccin
Tipos de Informacin
Impresos o escritos en papel.
Almacenada electrnicamente.
Transmite por correo o en forma electrnica.
La que se muestra en videos corporativos.
Lo que se habla en conversaciones.
Estructura corporativa de informacin.
Introduccin
La implementacin de esquemas de
Administracin de la Seguridad
Informtica en la institucin debe seguir
estndares y mejores prcticas del
mercado.
Es una necesidad del negocio ante las
circunstancias actuales.
Introduccin
Obstculos
Obstculos
Falta de conciencia de usuarios finales.
Presupuesto.
Falta de apoyo de la alta gerencia.
Falta de Entrenamiento.
Pobre definicin de responsabilidades.
Falta de herramientas.
Aspectos legales.
Las 10 reas que cubre son:
Polticas de Seguridad,
Seguridad Organizacional,
Clasificacin y Control de Activos,
Seguridad del Personal,
Seguridad Fsica y ambiental,
Administraciones de las Operaciones y
Comunicaciones
Control de accesos,
Desarrollo y mantenimiento de Sistemas,
Administracin de la Continuidad del negocio,
Cumplimiento de aspectos legales.
1. Polticas de Seguridad
Objetivo:
Proveer direccin y soporte administrativo
para la seguridad de Informacin.
La administracin superior debe definir
una poltica clara y apoyar la Seguridad
de la Informacin a travs de la
creacin y mantenimiento de una
poltica de seguridad de la informacin
a lo largo de la organizacin.
1. Polticas de Seguridad
Documento de Polticas de Seguridad.
Debe ser aprobado por la administracin,
publicado y comunicado a todos los
empleados.
Revisin y Evaluacin.
La poltica debe ser administrada por una
persona quin es responsable de su
mantenimiento y revisin de acuerdo a un
proceso definido.
2. Seguridad Organizacional
Infraestructura de la Seguridad de la
Informacin:
Objetivo:
Administrar la seguridad de la Informacin dentro
de la organizacin.
Consejo directivo o un grupo designado por
este debera de asumir la responsabilidad de
la seguridad de informacin.
2. Seguridad
Organizacional
Infraestructura de la Seguridad de la
Informacin:
Deben ser claramente definidas las
responsabilidades para la proteccin de
activos de informacin fsicos y procesos de
seguridad.
Se deben establecer procesos de autorizacin
para nuevas facilidades de procesamiento de
la informacin.
Es recomendable disponer de la asesora de
un especialista de seguridad (para propsitos
de evaluacin o de investigacin de
incidentes).
2. Seguridad Organizacional
Seguridad en el acceso de terceros:
Objetivo:
Mantener la seguridad de los dispositivos de
procesamiento de la informacin organizacional y
activos de informacin al que acceden terceras
partes.
Revisar los tipos de acceso (fsicos y
lgicos).
Contratos deben incluir controles.
3. Clasificacin y Control de
activos
Accountability para los activos:
Objetivo:
Mantener protecciones apropiadas para los activos
organizacionales.
Inventario de Activos
Ayudan a asegurar que hay una efectiva proteccin de
activos.
Cada activo deber ser claramente identificado y se
debe documentar la propiedad y clasificacin de
seguridad, adems de su ubicacin actual.
3. Clasificacin y Control de activos
Clasificacin de la Informacin:
Objetivo:
Asegurar que los activos de informacin reciben un
apropiado nivel de proteccin.
Controles a la informacin deben tomar en
cuenta las necesidades del negocio para
compartir o restringir informacin.
La responsabilidad de definir la clasificacin de
un tem de informacin debe permanecer con la
persona nombrada como duea de la
informacin.
4. Seguridad del Personal
Entrenamiento de usuarios:
Objetivo:
Asegurarse que los usuarios conocen de las
amenazas y preocupaciones de la Seguridad de la
Informacin.
Todos los empleados de la organizacin
debern recibir entrenamiento apropiado en los
procedimientos y polticas organizacionales.
La regularidad depender de la actualizacin o
los cambios que se den en la organizacin.
4. Seguridad del Personal
Responsabilidades y procedimientos
operacionales:
Objetivo:
Asegurar la correcta y segura operacin de todos los
elementos de procesamiento de la informacin.
Los procedimientos de operacin identificados
por la poltica de seguridad debern ser
documentados y revisados constantemente.
Los cambios en los sistemas y elementos de
procesamiento de informacin deben ser
controlados.
6. Administracin de
Comunicaciones y Operaciones
Responsabilidades y procedimientos
operacionales:
Se deben establecer procedimientos y
responsabilidades para el manejo de incidentes,
como:
Procedimientos que cubran todos los tipos potenciales
de incidentes de seguridad (prdidas de servicio,
negacin de servicio, datos incorrectos, brechas de
confidencialidad.
Procedimientos para Planes de Contingencia, Anlisis
e Identificacin de las causas de un incidente,
Coleccin de pistas de auditora, Reporte a las
autoridades, etc.
6. Administracin de
Comunicaciones y Operaciones
Responsabilidades y procedimientos
operacionales:
Acciones a seguir para recuperarse de problemas de
seguridad y correccin de fallas en los sistemas, (las
acciones de emergencias deben ser documentadas en
detalle).
La segregacin de tareas es un mtodo de
reducir los riesgos del mal uso (accidental o
deliberado) de los sistemas.
reas de desarrollo de Sistemas y Pruebas
deben estar separadas de los Sistemas en
Produccin.
6. Administracin de
Comunicaciones y Operaciones
Planeamiento y Aceptacin de Sistemas:
Objetivo:
Minimizar los riesgos de fallas en los sistemas.
Se debe monitorear y proyectar los
requerimientos de capacidad a fin de asegurar
que hay disponible una adecuada capacidad de
procesamiento y almacenamiento.
Deben establecerse criterios de aceptacin para
nuevos sistemas de informacin, actualizaciones
y nuevas versiones y se deben definir pruebas
para llevarlas a cabo antes de su aceptacin.
6. Administracin de
Comunicaciones y Operaciones
Proteccin contra Software Malicioso:
Objetivo:
Proteger la integridad del Software y la Informacin.
Controles contra Software Malicioso:
Poltica para el cumplimiento con licencias de software
y prohibir el uso de software No autorizado.
Poltica para proteger contra los riesgos asociados al
obtener archivos o software de redes externas.
Instalacin y actualizacin regular de Antivirus y
software scaneador de computadoras cono una
medida preventiva.
6. Administracin de
Comunicaciones y Operaciones
Soporte Continuo.
Objetivo:
Mantener la integridad y disponibilidad del
procesamiento de la informacin y servicios de
comunicacin..
Hacer copias en forma regular de la
informacin esencial del negocio y del
software. Se pueden utilizar los siguientes
controles:
Documentacin de los Backups, copias adicionales y
almacenadas en una localidad remota.
Los Back-ups se deben proteger fsicamente y contra
las condiciones del ambiente.
6. Administracin de
Comunicaciones y Operaciones
Administracin de Redes.
Objetivo:
Asegurar la proteccin de la informacin en las redes
as como de su infraestructura.
Los administradores de la red deben
implementar controles que aseguren a los datos
en la red de accesos no autorizados.
Tambin se deben implementar controles
adicionales para proteger los datos sensitivos
que pasan sobre redes pblicas.
6. Administracin de
Comunicaciones y Operaciones
Evaluacin (Assess):
Anlisis de Riesgos
Debilidades en Seguridad Informtica
(ej., auditoras, evaluacin de
Vulnerabilidades, pruebas de
penetracin, revisin de aplicaciones)
Pasos a seguir para prevenir
problemas
Fases del proceso de seguridad.
Evaluacin
Debilidades:
Determinar el estado de la seguridad en
dos reas principales: Tcnica y No
Tcnica.
No tcnica: Evaluacin de polticas.
Tcnica: Evaluacin de Seguridad fsica,
diseo de seguridad en redes
Fases del proceso de seguridad.
Evaluacin
Seguridad en el edificio
Passwords
Ingeniera social
Etc.
Fases del proceso de
seguridad.
Evaluacin
El Anlisis de Riesgos nos permitir:
Realizar acciones:
Proactivas
Reactivas
Administrar el Riesgo:
Identificar
Analizar
Evaluar
Tratamiento a seguir
Fases del proceso de
seguridad.
Evaluacin
Administracin de Riesgos:
Mtodo lgico y sistemtico de establecer el
contexto, identificar, analizar, evaluar, tratar,
monitorear y comunicar los riesgos asociados
con una actividad, funcin o procesos para
minimizar prdidas.
Fases del proceso de
seguridad.
Evaluacin
Logs en Firewalls.
Se requiere Sistemas de deteccin de
Intrusos?
O necesitamos Sistemas de
prevencin de Intrusos?
Firma digital para envo de
documentos?
Fases del proceso de seguridad.
Implementar
Implantado Planeado
Antivirus 99% 0%
Firewalls 97% 1%
Filtros de email 74% 10%
IDS 62% 12%
Bloqueo de adjuntos 62% 3%
Filtro de Web sites 59% 5%
Anlisis de Vulnerabilidades 43% 18%
Email encriptado 31% 15%
Fases del proceso de seguridad.
Administracin y soporte
Manejo de Incidentes:
Organizacin,
Identificacin,
Encapsulamiento,
Erradicacin,
Recuperacin y
Lecciones aprendidas.
Fases del proceso de seguridad.
Capacitacin continua